Secuestro de cuenta Passport.net

Secuestro de cuenta Passport.net
	VSantivirus No. 1023, Año 7, Sábado 26 de abril de 2003 Secuestro de cuenta Passport.net http://www.vsantivirus.com/dfm-secuestro-passport.htm Por David F. Madrid idoru@videosoft.net.uy Passport.net es una plataforma de servicios que incluye, entre otras cosas, el servicio de correo Hotmail y el portal MSN. Cada vez que el usuario inicia sesión en Passport, se almacenan en una cookie de usuario unos hashes (ver Glosario) que validan e identifican la sesión del usuario. Estos valores pueden ser fácilmente robados debido a un defecto de programación en el sitio web MSN.es. Mediante la visita de un enlace en un foro o a una página web se puede leer la cookie de usuario y si éste tiene en ese momento abierta una sesión de Passport.net, leer los hashes. Una vez que se obtienen los hashes basta hacerse una cookie igual y visitar msn.es para tener acceso a la cuenta de correo del usuario y a los servicios añadidos de Passport. Es lo que se llama "Cross Site Scripting". Para comprobar el fallo basta visitar un enlace como éste (Nota VSA: Se debe tener ActiveX habilitado): http://search.msn.es/results.aspx?cp=1252&PI=9539&DI=147&FORM= MSNH&q=%27<script>alert(document.cookie);</script> En este ejemplo se muestra la cookie por pantalla pero es trivial en Javascript mandar la cookie del navegante a otra página web. No se ha podido poner en conocimiento de los responsables de la web ante la inexistencia de dirección de correo de contacto. Glosario: HASH - Resultado de un algoritmo de Hashing. Son algoritmos que permiten verificar que un mensaje no ha sido modificado (integridad). Dado un mensaje de tamaño arbitrario, producen una salida de tamaño fijo. Ejemplos de este tipo de algoritmo son MD5 y SHA. CROSS-SITE-SCRIPTING - Posibilidad de introducir en el campo de un formulario o código embebido en una página, un script (perl, php, javascript, asp) que tanto al almacenarse como al mostrarse en el navegador, puede provocar la ejecución de un código no deseado. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com