Total Security - infoguerra.com.br
Falha no IE permite esconder url real
Especialistas em segurança descobriram uma maneira para que autores de páginas clone disfarcem de maneira mais convincente as suas cópias falsas de sites.A falha do Internet Explorer possibilita que qualquer valor seja colocado no campo endereço. Explicando de maneira mais específica, você pode criar uma página no kit.net mas fazer com que aqueles que acessam esta página no Internet Explorer pensem estar em outro endereço, colocando por exemplo http://www.microsoft.com.br no campo endereço. Confira aqui um exemplo. O destino verdadeiro é disfarçado normalmente pelo uso de URLs especiais, da forma www.sitecopiado.com.br@endereco.real.kit.net
Isso ocorre devido ao fato de que qualquer coisa entre o HTTP:// e o @ será ignorado, levando a vítima diretamente ao site falso.
Na realidade o conteúdo entre o http:// e o @ é usado para autenticação. Por exemplo, se você quer entrar em um site que usa autenticação htaccess pode fornecer o login e senha pelo endereço usando a sintaxe http://usuario:senha@www.site.com.br. Como o site não vai ter login e senha, aí sim, o que está entre o http:// e @ é ignorado.
Isso ainda deixa a URL um tanto estranha - mas isso pode ser disfarçado escondendo-se um caractere 0x01 antes do @. Veja o código fonte da página exemplo para entender melhor. O 0x01 (01 em hexa) é obtido através de um unescape() em %01 no caso do exemplo.
Deste modo, o Internet Explorer não exibirá o que vem depois do @, e o usuário inocentemente achará que está no endereço correto.
Segundo o que tem sido relatado até agora, a falha atinge o IE 6.0. A Total Security testou o IE 5.5 e ele também apresentou a falha.
A informação sobre a existência dessa vulnerabilidade foi enviada ao BugTraq ontem, ao mesmo tempo que a Microsoft foi notificada. Então, pelo fato do prazo ser curto, a Microsoft ainda não apresentou uma correção para o problema.
O primeiro modo de se defender é não atender a nenhuma requisição de entrar com senhas, especialmente as de banco, vindas por email. Entre diretamente no site oficial da empresa/banco para garantir a sua segurança, não use links externos. Ou isso, ou troque de navegador de internet, pelo menos até que a Microsoft lance algum pacote de correção.
Isso ocorre devido ao fato de que qualquer coisa entre o HTTP:// e o @ será ignorado, levando a vítima diretamente ao site falso.
Na realidade o conteúdo entre o http:// e o @ é usado para autenticação. Por exemplo, se você quer entrar em um site que usa autenticação htaccess pode fornecer o login e senha pelo endereço usando a sintaxe http://usuario:senha@www.site.com.br. Como o site não vai ter login e senha, aí sim, o que está entre o http:// e @ é ignorado.
Isso ainda deixa a URL um tanto estranha - mas isso pode ser disfarçado escondendo-se um caractere 0x01 antes do @. Veja o código fonte da página exemplo para entender melhor. O 0x01 (01 em hexa) é obtido através de um unescape() em %01 no caso do exemplo.
Deste modo, o Internet Explorer não exibirá o que vem depois do @, e o usuário inocentemente achará que está no endereço correto.
Segundo o que tem sido relatado até agora, a falha atinge o IE 6.0. A Total Security testou o IE 5.5 e ele também apresentou a falha.
A informação sobre a existência dessa vulnerabilidade foi enviada ao BugTraq ontem, ao mesmo tempo que a Microsoft foi notificada. Então, pelo fato do prazo ser curto, a Microsoft ainda não apresentou uma correção para o problema.
O primeiro modo de se defender é não atender a nenhuma requisição de entrar com senhas, especialmente as de banco, vindas por email. Entre diretamente no site oficial da empresa/banco para garantir a sua segurança, não use links externos. Ou isso, ou troque de navegador de internet, pelo menos até que a Microsoft lance algum pacote de correção.
URL Fonte: https://infoguerra.com.br/noticia/219/visualizar/
Comentários