Publié le 13-03-2008 à 10:15:03 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : Découvrez les Labs ZATAZ

Mon eBay mis à nu : démonstration de la faille eBay-XSS et son exploit grâce un applet flash.

eBay, un excellent service Internet pour vendre et acheter des biens mis aux enchères. Seulement, eBay n'est pas parfait et les clients peuvent rapidement s'en rendre compte s'ils ne prennent pas quelques précautions. Ebay annonçait hier, dans la presse régionale, être visé par la France. Son système de vente remis en cause dans l'hexagone et "Derrière ces attaques, de fausses accusations sont portées envers eBay de ne pas protéger ses utilisateurs" indiquait dans cette pleine page eBay France. Une pleine page qui indiquait aussi qu'un Français sur cinq est inscrit sur eBay. Nous allons donc revenir sur un point qui nous semble très important. Non, la sécurité sur eBay n'est pas garantie à 100 %. Non, eBay ne protège pas à 100 % ses utilisateurs. Il reste encore des lacunes qui mettent en danger les clients. Le dernier cas en date, une vente de 3 millions de dollars qui n'aurait jamais eu lieu.

Faille de sécurité toujours vivace

Les pirates informatiques et les e-escrocs peuvent toujours accéder aux identifiants des membres eBay grâce à une vulnérabilité qui n'a encore été corrigée par le site de vente aux enchères américain (LIRE). Le simple fait d´ouvrir une page d´enchère sur eBay suffit. L'internaute, qui a ouvert son espace eBay, n´a même besoin de cliquer sur un lien contenu dans une annonce piégée. Pendant qu´il décortique ce qu'il pense être une bonne affaire, ses identifiants (nom, prénom, adresse privée, adresse courriel, ...) sont directement communiqués aux pirates. Le fonctionnement est très simple, trop simple même. Nous vous en révélions l'existence l'année dernière. Il suffit au pirate de cacher un fichier au format Flash. Une image particulièrement formée (VOIR) (2). "En insérant un appel à un applet flash, explique à ZATAZ.COM les experts de Falle-Internet , dans le descriptif de l´annonce, il est possible par le biais du Cross-Site-Scripting d´avoir un aperçu de toutes les données dans - mon ebay -, alors qu´elles ne devraient être accessible expressément qu´au titulaire du compte. En plus des informations de connexion du client, le pirate peut mettre la main sur les dernières activités de sa cible (Achat réussi ou raté, liste des objets suivis, lire les messages privés dans mes message". Autant d'informations qui permettent aux pirates de mettre la main sur des acheteurs qui n'y verront que du feu en recevant de fausses ventes ou autres fausses offres de la seconde chance (LIRE) (VOIR).

Hameçonnage possible

"La faille de sécurité Cross-Site–Scripting facilite aussi l´hameçonnage (phishing), confirme Falle-Internet, En manipulant certains des éléments précis de la page d´enchère, il est possible de soumettre à la victime une fausse page de login (ouvrir une session) le mot de passe saisi sera envoyé instantanément aux truands. Cette tromperie fonctionne d´autant mieux qu´elle ne nécessite aucun renvoi sur une page externe (phishing classique): Il suffit d´insérer le faux formulaire directement dans la page d´enchère alors que la victime se trouve visuellement toujours sur une page ebay."

N´importe quel membre d´eBay peut être victime de cette faille, il lui suffit d´avoir préalablement ouvert une session sur le site eBay; D´avoir installé un plugin Flash sur son pc et d´autoriser le JavaScript sur son Navigateur. "L´escroc met une page d´enchère sur un article fréquemment recherché. Dans cette page il insère l´appel à une animation Flash spécialement préparée. Un ebayeur, qui s´est préalablement identifié sur le site, ouvre cette page et son navigateur télécharge le code Flash de l´escroc. Celui-ci contient un code JavaScript qui renvoie les cookies-eBay du navigateur de l´ebayeur à l´escroc." Une infiltration qui ne laisse aucune chance aux clients eBay.

Pour défendre eBay un instant, le site de vente aux enchères ne peut rien faire après la modification d'une enchères, à moins d'interdire les flashs ou de mettre un cerbère, devant chaque annonce, nuit et jour, 7 jours sur 7. Impossible donc à eBay de contrôler la mise en page et les modifications ultérieures. Heureusement, il existe des méthodes pour se protéger. L'une d'elle est assez simple. Il suffit de désactiver toutes les fonctions JavaScript dans son Navigateur. Un inconvénient à cette méthode de protection, le site eBay qui utilise ces fonctions fonctionnera beaucoup moins bien voir plus du tout.

Épilogue

Décembre 2007, la section d´eBay "Law Enforcement Affairs" est contactée et informée sur les différentes failles et les solutions possibles. Mi-Décembre de cette même période, la section d´eBay "Trust & Safety" est contacté à son tour. Depuis, des actions pirates très concertées ont visé eBay (1) (2) (3). Mars 2008, aucune contre-mesure efficace n´a été mise en place par d´eBay.

Tweet

EDF : Avis de coupure de courant par email

01-02-2012 à 13:42 - 0 commentaire(s)

Depuis quelques jours, un faux courriel aux couleurs d'EDF inquiété les internautes Français.

Les emails de du président syrien Bachar el-Assad piratés

01-02-2012 à 13:30 - 0 commentaire(s)

Un hacker saoudien aurait réussi à pirater pour 4Go de données emails appartenant au président syrien Bachar el-Assad.

Les impôts vous doivent des sous

31-01-2012 à 19:34 - 0 commentaire(s)

INFO ZATAZ - Un courrier électronique aux couleurs du Ministère du budget, des comptes publics et de la fonction publique vous annonce un remboursement de 178 euros.

Des jeux en ligne pour enfants attendrissants mais infectés de virus

30-01-2012 à 21:59 - 0 commentaire(s)

Les jeux online pour enfants ne sont pas sans danger. Plus de 60 sites infectés au cours des 30 derniers jours.

Prison ferme et lourde amende pour des pirates de film

30-01-2012 à 21:48 - 0 commentaire(s)

4 mois ferme, plus de 77 000 euros d´amende. Sept pirates de film du nord de la France condamané par le Tribunal de Béthune.

Des déclarations numériques de TVA se perdent sur le web

30-01-2012 à 21:40 - 0 commentaire(s)

INFO ZATAZ - Une jeune entreprise Française en a marre de recevoir des déclarations de TVA qui ne lui sont pas adressées.

Mon papa est un pirate

30-01-2012 à 18:44 - 0 commentaire(s)

Le pére et son fils pirataient des données bancaires. Ils risquent aujourd´hui la prison à vie.

Ipad 3 à gagner sur Facebook

30-01-2012 à 17:08 - 0 commentaire(s)

Les rumeurs vont bon train sur la date de sortie de la nouvelle génération d'iPad et les spammers se préparent à escroquer les impatients.

Prudence aux liens vers Darty et ELLE

Des vulnérabilités ont été découvertes sur les sites RueDuCommerce, Darty et du journal ELLE. Prudence aux liens exterieurs.

Quand des Anonymous tapent sur des Anonymous, ça mousse

INFO ZATAZ - Des Anonymous reprochent à d´autres Anonymous d'avoir piraté des sites appartenant à la mouvance d'extrême droite. Pour les punir, leurs identités sont diffusées sur la toile.

Les informations confidentielles de 541 policiers Français diffusées par les Anonymous

Les Anonymous diffusent sur Internet l´identités et des informations confidentielles de plusieurs centaines de policiers Français.

Faille pour Myspace

Info ZATAZ - Une vulnérabilité de type Cross-Site Scripting vise le portail communautaire MySpace.

Multiples failles pour le site économique Forbes

INFO ZATAZ - Plusieurs vulnérabilités touchent le site économique américain Forbes. Les lecteurs peuvent être touchés directement.

La ville de Béthune corrige une fuite de données

INFO ZATAZ - Une méga fuite de données permettait d´accéder à une imposante base de données appartenant à la Mairie de Béthune.

Le site de Vivendi piraté par des Anonymous

INFO ZATAZ - Des internautes punissent Vivendi en piratant le site de la major. La société aurait trahis l´esprit d´Internet.

Redirection dangereuse pour Google books

INFO ZATAZ - Un url officiel Google permet de rediriger ou permettre un téléchargement malveillant.

Réagissez à ce contenu