|
|
Spoofing de URL en Internet Explorer (incluido SP2)
|
| |
VSantivirus No. 1577 Año 8, domingo 31 de octubre de 2004
Spoofing de URL en Internet Explorer (incluido SP2)
http://www.vsantivirus.com/vul-spoofing-ie-301004.htm
Por Angela Ruiz
angela@videosoft.net.uy
Según recientes reportes publicados en la Web, siguen existiendo errores de seguridad en Internet Explorer, que pueden ser utilizados para mostrar una dirección falsa en la barra de estado.
Se han publicado al menos dos ejemplos de estos fallos. En ambos, se muestra en la ventana del Explorer un URL falso (por ejemplo
"http://www.microsoft.com/"). Si usted mueve el puntero del ratón sobre ese enlace, en la barra de estado también se muestra esa dirección. Pero si usted hace clic sobre el URL, el navegador es redirigido a otro sitio y no a la dirección mostrada.
Este tipo de acción puede llevar a la realización de ataques del tipo denominado "spoofing" (o falsificación), en este caso de URL. Potencialmente, esto puede ser explotado por usuarios maliciosos para realizar "phishing" (suplantación de un usuario o sitio legítimo por uno falso para que un usuario desprevenido deje allí sus datos).
El primer ejemplo, reportado en BugTraq por Benjamin Tobias Franz, fue probado en un Internet Explorer 6.0.2800.1106, con todos los parches (SP1), y también en Outlook Express. Ambos programas son engañados. En cambio, Windows XP con SP2 (6.0.2900.2180), en la barra de estado muestra la dirección real tanto en
el Internet Explorer como en Outlook Express.
El segundo ejemplo, proporcionado por http-equiv, funciona inclusive en Internet Explorer 6 de Windows XP SP2, también actualizado. Sin embargo, en este caso, mientras el IE del SP2 es engañado, el Outlook Express también del SP2, muestra la dirección real en la barra de estado. Probando este ejemplo en Windows XP y XP con SP1, y también en Windows anteriores, vemos que son engañados tanto el IE como el OE.
En el primer caso, el problema se produce porque el Internet Explorer no maneja correctamente un enlace cuando está dentro de una tabla, y ésta a su vez es parte de un enlace ("a href" [tabla] "/a"). Al hacer clic derecho sobre el enlace y ver sus "Propiedades", se muestra la verdadera dirección (también "Copiar acceso directo" revela
el verdadero URL).
El segundo caso es parecido, pero utiliza un manejo más sofisticado de las etiquetas "base href", "a href" y un formulario dentro de estos parámetros. Aquí directamente no es posible visualizar ninguna opción con el botón derecho (o al menos no aparecen o no se pueden
seleccionar ni "Propiedades", ni "Copiar acceso directo" en el menú contextual).
Como estos ejemplos también pueden ser explotados desde un correo electrónico con formato HTML, se aconseja no hacer clic sobre ninguna clase de enlace enviado en mensajes no solicitados. Tampoco se debe hacer clic sobre enlaces ubicados en sitios que no sean de su total confianza.
Créditos:
1. Benjamin Tobias Franz, Alemania
2. http-equiv, www.malware.com
Referencias
1. New URL spoofing bug in Microsoft Internet Explorer
http://www.securityfocus.com/archive/1/379764
2. Re: New URL spoofing bug in Microsoft Internet Explorer
http://www.securityfocus.com/archive/1/379903
Relacionados:
Enlace dentro de TABLE es falsificado en barra de estado
http://www.vsantivirus.com/vul-url-table-081104.htm
Glosario:
URL (Uniform Resources Locator o Localizador Uniforme de Recursos) - Básicamente solemos referirnos a cualquier dirección de Internet. En realidad se trata de una estandarización de recursos que permite encontrar estas direcciones. Dicho de otra manera, se trata de un "apuntador" a la ubicación de cualquier archivo, como por ejemplo una página HTML.
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
