Уязвимостью в WHOIS-ах по-тихонечку пользуются киберсквоттеры
Карму мне слили, писать статьи больше я не могу из-за этого, пока буду писать в свой ЖЖ alexbyk.livejournal.com
Тут я недавно заметил, что WHOIS XSS потихонечку начинают пользоваться киберсквоттеры (или аукционы доменов). В самом скромном случае, просто размещают ссылки на себя и стараясь как-то больше выделить свой бренд, либо просто делая редирект на свои сайты.
Этой уязвимости подвержено большинство сайтов популярных регистраторов. Ниже примеры
Как пример — выдача веб-WHOIS у популярных регистраторов по этим ссылкам: любопытство приведет на гугл
WebNames
Reg.ru
Imena
Так же уязвимости подвержено множество других регистраторов и их партнеров. Чтобы проверить, подвержен ли сайт регистратора или нет — достаточно попытаться зарегистрировать домен catering-companies .com и когда окажется, что он занят — посмотреть данные владельца (whois)
Угрозы, в принципе, из себя это серьезной не представляет (поэтому в этой публикации ничего страшного нет). Больше интересно, как этим начинают пользоваться киберксквоттеры, аукционы доменов и т.д. Вот, например, как размещает свои ссылки продавец БэйДомейнс
www.webnames.ru/scripts/whois.pl?domain_name=WelcomeToAfrica.com
Кому интересно, немного подробнее здесь alexbyk.livejournal.com/, а так же, как исправить, если у вас такая же проблема.
UPD.: разместил в этом разделе, может перенести в другой?
UPD.2.: спасибо тем, кто поднимает карму. Тему перенес в «ИнфоБезопасность»
UPD.3: хвастаться плагином к FF или советовать установить не надо — большинство знает, как отключать выполнение скриптов. Статья не об этом
UPD.4: по просьбам дополнение
на примерах выше уязвимость реализована из за того, что никак не обрабатывается ответ, пришедший от WHOIS сервера (чаще всего вывод команды whois в Линуксе)
Если у вас такая же уязвимость, то скорее всего у вас в скрипте что-то наподобии такого:
$text=`whois google.com`;
print "<pre>$text;</pre>";
Так вот, перед выводом или включением результата whois в HTML, в переменной $text надо заменить все символы < и > на & lt; и & gt;
UPD5: Reg.ru исправил уязвимость через несколько часов после публикации
Молодцы, очень оперативно с учетом того, что сегодня выходной день:)
Тут я недавно заметил, что WHOIS XSS потихонечку начинают пользоваться киберсквоттеры (или аукционы доменов). В самом скромном случае, просто размещают ссылки на себя и стараясь как-то больше выделить свой бренд, либо просто делая редирект на свои сайты.
Этой уязвимости подвержено большинство сайтов популярных регистраторов. Ниже примеры
Как пример — выдача веб-WHOIS у популярных регистраторов по этим ссылкам: любопытство приведет на гугл
WebNames
Reg.ru
Imena
Так же уязвимости подвержено множество других регистраторов и их партнеров. Чтобы проверить, подвержен ли сайт регистратора или нет — достаточно попытаться зарегистрировать домен catering-companies .com и когда окажется, что он занят — посмотреть данные владельца (whois)
Угрозы, в принципе, из себя это серьезной не представляет (поэтому в этой публикации ничего страшного нет). Больше интересно, как этим начинают пользоваться киберксквоттеры, аукционы доменов и т.д. Вот, например, как размещает свои ссылки продавец БэйДомейнс
www.webnames.ru/scripts/whois.pl?domain_name=WelcomeToAfrica.com
Кому интересно, немного подробнее здесь alexbyk.livejournal.com/, а так же, как исправить, если у вас такая же проблема.
UPD.: разместил в этом разделе, может перенести в другой?
UPD.2.: спасибо тем, кто поднимает карму. Тему перенес в «ИнфоБезопасность»
UPD.3: хвастаться плагином к FF или советовать установить не надо — большинство знает, как отключать выполнение скриптов. Статья не об этом
UPD.4: по просьбам дополнение
на примерах выше уязвимость реализована из за того, что никак не обрабатывается ответ, пришедший от WHOIS сервера (чаще всего вывод команды whois в Линуксе)
Если у вас такая же уязвимость, то скорее всего у вас в скрипте что-то наподобии такого:
$text=`whois google.com`;
print "<pre>$text;</pre>";
Так вот, перед выводом или включением результата whois в HTML, в переменной $text надо заменить все символы < и > на & lt; и & gt;
UPD5: Reg.ru исправил уязвимость через несколько часов после публикации
Молодцы, очень оперативно с учетом того, что сегодня выходной день:)
комментарии (43)