Взлом чата ч.2

Поскольку сам символ \ является управляющим (и поэтому не отображается непосредственно в строке), то для отображения самого себя существует комбинация \\. Такой такая комбинация отображается как просто символ \.

Какое это все имеет отношение к взлому чатов? А вот какое: некоторые чаты не ставят фильтр на символы кавычек " (или ') в поле ника, а заменяют их на комбинации типа \" (или \'), полагая что в таком случае кавычки будут отображаться но не смогут выступать как ограничители, и следовательно не могут разрушить структуру HTML. При этом недальновидные разработчики упускают из виду то, что и юзер может использовать символ \ для блокировки ихнего символа \. К примеру фрагмент чата для сообщения юзера с ником Sh"ram выглядит следующим образом:

В таком случае кавычка в нике не нарушает структуры тега. Но если мы поменяем ник на Al\"gol, то вставив слэш перед кавычкой чат создаст следующий HTML:

Этот эффект можно использовать для взлома чатов методом разрушения структуры HTML. Обратим внимание на то, что в некоторых случаях таким же методом можно блокировать ограничивающие кавычки, вставив в конец ника обратный слэш.

Недавно я заметил еще одну дырку, связанную с неправильным использованием символа \ программистами чатов. Пусть, например, ник пользователя вставляется в тело чата в виде

Взлом на уровне http

Как уже упоминалось, сервер чата может отслеживать поле referer HTTP запроса, и не пускать в чат, если это поле отличается от нужного. Для того что бы обойти это припятствие нужно отловить заголовок HTTP запроса, отсылаемого чатом на сервер (с помощью специальных программ, например Naviscope) и написать специальную програмку, которая отсылает запросы на сервер. При этом содержимое запросов (напрмер значения поля цвета) можно задавать произвольно.

Не буду останавливаться на этом подробно. Это выходит за рамки взлома HTML.

Отмечу лишь, что на уровне HTTP можно делать более хитрые штуки, чем обычными средствами HTML или JavaScript. В любом случае рекомендую просматривать заголовки HTTP запросов при работе в чате. Они помогут вам более подробно разобраться в работе чата.

Чудеса с символом =

Как вы думаете, что будет отображаться в браузере для такой строчки HTML:

Как ни странно, в таком случае все будет в порядке, хотя налицо ошибка синтаксиса. А если мы кликнем на тексте, выскочит алерт =. Попробуйте переместить третий апостроф за угловую скобку, или за текст: 

К сожалению я не имею исходников или подробной документации для MSIE, но я думаю что в данном случае имеет место явная ошибка в MSIE. Вероятно браузер анализирует код в два этапа. На первом этапе он выделяет теги, их атрибуты и текст, который находится между ними, а на втором он анализирует JavaScript-содержимое параметров тегов (речь идет только про те атрибуты, которые допускают значение-скрипт, например href или onclick ). При первичном анализе браузер по непонятной причине считает комбинацию =' началом строки, несмотря на то, что символ = уже находтся внутри  строки! Затем приняв =' за начало строки, программа ищет конец (при этом начисто забыв про то, что еще одна строка открыта и не закрыта). Таким образом все что следует за =' (либо =" ) и до следующего символа ' игнорируется и считается строкой! Поэтому в первом примере браузер не воспринимал тег: он не нашел закрывающей угловой скобки, поскольку она находилась (как бы) внутри строки. Но еще более удивительно то, что на втором этапе анализа параметров тега, браузер все воспринимает правильно (в этом можно убедится нажав на надпись Textво втором примере), и воспринимает строку там где надо, и находит закрывающую угловую скобку тоже там где надо. Это ведет к тому, что фрагмент Text из третьего примера не является отображаемым текстом (поскольку как бы не является телом тега), но и не является параматром тега (поскольку на этапе анализа параметров, до нее компилятор просто не доходит)! Пламенный привет Биллу!

Используя данную ошибку браузера мне удалось закоментировать часть кода чата, просто напросто залогинившись под ником = :)). Вот фрагмент кода, который отображал список присутствующих в чате:

При этом мой ник в списке просто не отображался, поскольку фрагмент между кавычками 

Замечательно (или печально - смотря для кого) то, что данный глюк проходит практически везде где можно хоть че нить ввести (по крайней мере для MSIE 5.50.4134.0600), и для этого даже не надо ничего менять в форме. А плохо то, что от этого трудно добиться существенной пользы (например запуск скрипта).

В заключении отметим, что аналогичным эффектом обладает и символ >, который воспринимается как конец тега, несмотря на то, что он находится внутри строки. Фрагмент

Два взлома чата T

Чат T пропускал следующие символы в поле цвета:

При вставке цвета в чат, обрамляющих кавычек не было. Фрагмент сообщений в чате (кстати автор чата видимо не считает нужным закрывать теги )), хотя будем надеятся что это сделано для повышения быстродействия):

Смущало то, что пробел не пропускался фильтром. Однако, после некоторых раздумий, я нашел следующее решение - сам цвет я взял в одинарные кавычки, а после цвета без пробела вставил параметр style: 'red'style=background-image:url(javascript:while(1==1)open()). Как отмечалось во второй главе разделительный пробел в данном случае не обязателен :)).

Кстати в этом чате было полно фреймов, и в том числе были скрытые и пустые - вероятно задумывались для каких-либо будущих расширений. Но пока админы думали над расширениями, я нашел им более полезное применение. Я в этом чате висел достаточно долго - несколько месяцев. И висел не просто так: в один из скрытых фреймов я пихал свой сайтик. А на сайтике были баннеры баннерной сети. Таким макаром я накрутил себе около сотни тысяч баннеропоказов, а мой сайт подскочил до 5-6 места в рейтинге хитов Rambler Top 100 (в своей группе). К сожалению, баннерная сеть сопоставила отношение хиты/хосты и поняла что ее водят за нос. Получалось что один и тот же посетитель заходит на мой сайт раз по 50 в день. Мой аккаунт заблокировали. Так наверно до сих пор там и висит, неприкаянный :)).

Но вернемся к нашим баранам. Спустя некоторое время администрация чата заменила cgi-шку. Не знаю какие "улучшения" были сделаны в second edition, но я лишь заметил одно изменение: теперь длинна строки-значения цвета была ограничена, и составляла около 10 символов (кстати такое ограничение стоит во многих чатах, хотя я не понимаю какой в них смысл? Не легче ли поставить фильтры на вводимые символы? Хотя возможно таким образом они защищаются от переполнения буфера?). При таком раскладе, конечно старый метод уже не работал. Втиснуть в 10 символов приличный скрипт нельзя (тут даже и сам style не помещался). Я понял, что можно ломать только через ник или вторым методом - разрушая стрктуру HTML. Несколько часов я пробовал так и этак. Кроме дешевого эффекта исчезновения ника (глава "Чудеса с символом =") ничего не получалось. Ломка структуры ничего не давала по следующей причине: вставляя вместо цвета символ ' я открывал строку, но она закрывалась апострофом который шел в ссылке на время (тут чату просто повезло - это не было задумано как защитная мера, хотя многие чаты вставляют специально для этого фиктивные теги типа <! ' " ' > ):

То есть коментировался только фрагмент <a href=javascript:parent.window.Mtm(. И все чего я добился это удаление тега ссылки на время. Если бы было возможно вставлять вместо однарных кавычек, двойные, то проблемы бы не было, ведь в чате двойные кавычки не применялись. Но символ " не пропускался фильтром. Заход под ником типа Algol= тоже ничего не давал поскольку, символы после 'Algol=')>игнорировались и не считались параметрами тега. Работал конечно еще вариант описанный в конце главы "Вариации на тему", но эти скрипты срабатывали только при нажатии на ссылку моего ника :((. Я уже готов был признать что целиком чат взломать нельзя. И тут в последний момент, копаясь и эксперементируя в недрах HTML, я обнаружил что символ обратного апострофа тоже является ограничителем строк в HTML !!! И этот символ пропускался фильтром! Недолго думая я залогинился с ником Algol и цветом ` . А потом в качестве сообщения в чат послал такую строку: `style=background-image:url(javascript:alert('Победа_будет_за_нами!')) . Мое сообщение в теле чата выглядело следующим образом:

При этом фрагмент <a href=javascript:parent.window.Mtm('22:18:18')>22:18:18</a> - <a href=javascript:parent.window.mfor('Algol')>Algol</a> полностью коментировался и считался как бы цветом, а параметр style оказывался внутри тега ! Скрипт сработал :)).

Так что программистам чата T придется разрабатывать новую версию своего детища. Остается толко удивлятся как много лазеек они оставляют, и как медленно их исправляют. Говорят все дело в психологии: разработчики защитных систем не могут поставить себя на место взломщика, а судят о системе со своей стороны, вместо того, что бы посмотреть на нее снаружи.

"Перехват", "подлог" и получение прав.

Рассмотрим методы захвата чужих сообщений (приватов) и отсылки сообщений от лица других чатовцев. Существуют разные методы перехватов, предназначенные для разных типов чатов. Если чат полностью взломан то операция "подлога" (т.е. вставка реплик от имени других чатовцев) не составляет труда: нужно лишь послать жертве в приват скрипт, который будет записывать некоторый текст в строку реплики, а затем нажимать кнопочку "отправить". Анологично можно вытянуть и приват юзера. Однако такие методы слишком грубы, примитивны и трудны в применении. Более совершенны такие методы перехвата, при которых сам чат принимает вас за другого юзера.

При создании HTML-чатов, основная проблема заключается в том, что HTTP протокол, в принципе, не поддерживает постоянных  соединений. Это значит, что каждый раз, когда вы хотите получить сообщения  или отослать реплику, программа чата должна "узнать" вас, понять, что вы это вы. Если бы она не узнавала юзеров, она бы не смогла присылать вам ваши приваты, и не смогла бы писать ваши сообщения от вашего  имени. Для идентификации участников, чаты используют разные методы. Наиболее часто используются метод IP-адресов и метод динамических имен. Первый метод основывается на том, что у одного и того же пользователя один и тот же IP адрес на протяжении сессии связи. Не буду подробно останавливаться на этом методе, скажу лишь, что этот метод имеет недостатки. В частности он может не работать, если пользователь использует корпоративный прокси сервер, или если он открыл несколько окон с чатом. В последнее время стал часто использоваться другой метод - метод динамических имен. Суть метода заключается в том, что при каждом заходе юзера в чат, ему автоматически присваивается временный уникальный логин. Этот логин автоматтически прописывается в страничке, которую шлюз присылает пользователю. Каждый раз, когда пользователь отсылает форму реплики или запрашивает сообщения из чата, его страничка отсылает на сервер временный логин, по которому сервер собственно и идентифицирует пользователя. Временный логин система генерирует случайным образом, и два разных юзера не могут иметь одинаковый логин. Логин может состоять из нескольких частей. Чаще всего это порядковый номер пользователя в сессии, и сгенерерированный случайным образом пассворд. Поскольку идентификационный логин "зашит" в чатовскую страничку каждого юзера, то система точно знает с каким юзером она общается, независимо от его IP адреса, прокси-серверов, количества открытых окон с чатом и т.д.

Понятно, что если бы мы знали логин пользователя, то нам бы не составило труда "подкосить" под юзера, просто напросто исправив в своей страничке свой логин, на его логин. Тогда бы система приняла нас за него... Оказывается это можно легко сделать, если чат взломан, и мы имеем возможность вставить в чат свою картинку. Тогда, если в качестве картинки использовать сниффер (см главу "Вариации на тему"), то мы сможем получить временные логины всех участников чата! А если нас интересует чей-то конкретный логин , то нужно послать ему сниффер в приват. Отмечу следующее: перехваченный логин действителен только до тех пор, пока юзер находится в чате, если перелогинится (выйдет и снова зайдет), то у него уже будет новый временый логин.

Понятно, что если перехватить временный логин админа, то к нам автоматически перейдут и его права - например возможность непосредственной вставки тегов в сообщения (т.е. отсутствие фильтра на символы <и >), или возможность удаления из чата, или получения информации о пользователе и т.д.

Третий взлом чата T

Итак вернемся к многострадальному чату Т. Не так давно чат Т полностью перешел на новое ядро. Теперь правила игры изменились. Сначала поле цвета пропускало практически все (вплоть до знаков < и >), и мне не сотавило труда взломать его. Но вскоре эту дырку заделали (не без моего участия). В новой версии чата цвет пропускал исключительно цифры и буквы. Взлом через цвет стал невозможен. Это заставило искать более изощеренные методы. По сути, единственое что оставалось - это ник. По своему опыту я знал, что через ник взломать чат довольно трудно, поскольку разработчики довольно тщательно подбирают для ника фильтры. Однако в чате муссировалась "фишка" о том, что "набор символов для ника существенно расширен". Это шло как своеобразная реклама. Немного повозившись с фильтрами на ник, я обнаружил что пропускаются следующие символы:

Символ " пропускался, однако перед ним чат автоматически вставлял символ \. Механизмы связанные с такой комбинацией описаны в главе "Немного о символе обратного слэша \". Однако эффекты описанные в этой главе не давали желаемого результата, и были неудобны в использовании. Я искал другое решение. И я его нашел!

Посмотрим на фрагмент сообщений в чате: