Gmail Kırıldı

Buradan orjinal dökümana ulaşılabilir.

Google bu durumun muhtemel saldırgana bilgi veren kullanıcılar için geçerli olduğunu savundu. Açık kapatıldı, Google bu durum üzerine resmi bir açıklama yapmadı ve Full-disclosure'da da aynı sitede yakında yayınlanacak olan --tüm online banka sistemlerinin barındırdığı- benzer türde bir açığın duyurusu yapıldı :)

Güvenlik uzmanlarına göre kullanılan sistemlerin %98'inde benzer türde rapor edilmemiş açıklar mevcut.

Görüşler

conan
20 yıl önce

Beta canim, olur oyle seyler :)))

cbc
20 yıl önce

Google bu durumun muhtemel saldırgana bilgi veren kullanıcılar için geçerli olduğunu savundu.

abartayım.. fazlamesai şifremin 1234 olduğunu söylersem "fazlamesai.net kırıldı" diye haber yapan olur mu acaba.

xcorex
20 yıl önce

bakın ben kırdım.. fazlamesainin içine yazı yazabiliyorum.. üye olmanız yeter deneyin.. gerçekten dediği yöntemi kullanarak banka hesaplarıma da girebiliyorum. hatta başkasına şifremi verirsem sanırım onlarda girebilir..

Güvenlik uzmanlarına göre kullanılan sistemlerin %98'inde benzer türde rapor edilmemiş açıklar mevcut.
%2'si kullanıcılarına sadece okuma hakkı veriyodur.. :)

geyik bi yana, konuya böyle yaklaştık ama aslı astarı bumudur? :)

xcorex
20 yıl önce

geyik bi yana, konuya böyle yaklaştık ama aslı astarı bumudur? :)

değilmiş :))

tongucyumruk
20 yıl önce

Açıkçası ben nasıl kırıldığına ilişkim olarak yapılan açıklamada kullanıcının saldırgana nasıl bir bilgi vermesi gerektiğine ilişkin birşey bulamadım. Tabii çok idkkat etmeden, biraz üstünkörü okudum atladığım noktalar olabilir.

xcorex
20 yıl önce

sanırım şunu söylemeye çalışıyorlar, "içerden kullanıcınız olması gerekli" . bunu söylemek ne kadar gerekli bilmiyorum?.. çünkü bişey atlamadıysam benimde tek gördüğüm adamın kendi user bilgilerini kullanarak login oluyor (olurmuş gibi :)) , kurbanın bitek kullanıcı adını kullanıyor. güzel bi bug ama hangi sistemin %98'inde böyle bi hata olabilir bilmiyorum.

bu arada adam baya uğraşmış :) sayfayı load etmesine izin vermeyin diyo :)

sonereker
20 yıl önce

Adım adım anlatılan aşamalarda belli bir seviyeye kadar kurbanın hesabına giriş yaptığı sırada gönderip aldığı verilerden faydalanılıyor.

İlk bakışta "Gmail Cracked" başlığının da etkisiyle yayılmış bir medyatik haber niteliğinde gibi görünse de, yöntem ilerde daha farklı boyutlar kazanabilir gibi duruyor...

tongucyumruk
20 yıl önce

Peki ama kurbanın arada alıp gönderdiği verileri dinleyebiliyorsanız direk parolayı çalmanızın önünde bir engel yokki... Yani bu duruma karşı alınabilecek tek önlem SSL kullanmak olacaktır. Yok eğer lokal saklanan verilerden faydalanacaksanız kurbanın bilgisayarında kurbanın hesabına ya da root hesabına sahip olmanız gerekir. Yanılıyor muyum?

xcorex
20 yıl önce

gmail zaten direk SSL ile çalışıyor.. yanlış anlamadıysam kurbanın sadece kullanıcı adını biliyor. diğer sessionla alakalı bilgileri veya diğer bilgileri kendi kullanıcısıyla login olarak alıyor..

yanlış mı anladım?

neurorebel
20 yıl önce

"Man in the middle" söz konusu değil. Orada bir "ver" ve "zx" parametresinden söz ediliyor. Bu parametreler serverda oluşturuluyor ve gmail username ile beraber bi hash işleminden geçiyor. Bu da oturum açmanız için gerekli olan AUTH stringi yani :) Şimdi buradaki açık şu; anladığım kadarıyla gmail'in sayfası cookienin içerisindeki stringi javascriptle alıp GET metoduyla ( browser'ın adres çubuğunda görünecek şekilde ) cookie kontrol eden sayfaya (CheckCookie) parametre olarak yolluyor. Yani istediğiniz herhangi bir username için gerekli olan session stringi yakalayabilirsiniz :) İşte o loadinglerde hemen stop edilmesinin sebebide bu. Kimin hesabını kırmak istiyorsanız onun AUTH stringini bulup kendi cookienizin içine yazmanız yeterli :) eheh. Bunu bulan arkadaşı da canı gönülden tebrik ediyorum yani. Allah bilir nası bi anda farketti bu saçmalığı :D ( CheckCookie olayı yani ) Ve web sitelerinin %98'inde böyle hataların olduğunu söylemekle pekte abartmamışlar... Düşünün Google böyle bir hata yapıyor...

neurorebel
20 yıl önce

xcorex; işte şimdi doğru anladın :)

xcorex
20 yıl önce

:))

sonereker
20 yıl önce

Evet güzel açıklama bu oldu :)

Görüş belirtmek için giriş yapın...

İlgili Yazılar

Devletimiz Internet de ne kadar Korunuyor?

anonim
15 Mayıs 2001, 1 dakika okuma süresi

Silahlarımız var uçaklarımız, gemilerimiz, evet savaşa hazırız, ama o ne; biri geldi tüm telekomünikasyon sistemimizi down etti, bunu 1 kisi yaptı ve gitti ,daha sonra düşman geldi ve gümm gümm işimiz bitti. Evet artık elektronik ve ekonomik savaş önemli. Ülkemizin güvenliği askeri açıdan mükemmel ama Internet açısından nasılız acaba ?

Örnek mi istersiniz ? Devlet Malzeme Ofisi'nin sayfası hack ediliyor , hem de elektronik ticaret kısmı, hem de 1 gunde 2 kez :) ayda kaç kez bilinmiyor. Hacker uyarıyor `burda bug var düzeltin şunu` diyor, ama düzeltmiyorlar, dahası düzeltemiyorlar, ve bunu yapan da DMO değil, o siteyi yapan, asıl bu işi alan bir danışman firma. Üzüldüm açıkcası hem de çok...

Cehennem.Org´u Hatırlar Mısınız?

anonim
4 Eylül 2002, 1 dakika okuma süresi

Aşağıda sadece konu başlıklarını ve ayrıntılı bilgiye ulaşabileceğiniz linkleri veriyorum, yorumsuz...

"İnternette şifre tuzağı
'www.cehennem.org', Türk internet kullanıcılarına e-posta yoluyla tuzak kurarak, şifrelerini alıyor. Kurban sayısı ve isimlerini yayınlayan sitenin, bu yolla 10 bine yakın internet kullanıcısının şifresini ele geçirdi."

"Cehennem.org'da terör bağlantısı
İnternet kullanıcılarına tuzak kurarak şifrelerini indiren cehennem.org'un kapatıldığı açıklandı. Bu açıklamayı, ABD'den gelen ve şifreleri ele geçirilenleri dehşete düşüren bir açıklama takip etti."

Korsan mı değil mi?

bahadirkandemir
28 Ocak 2005, 1 dakika okuma süresi

BBC'deki bir haberde, Asya'daki tsunami sonrası açılan Felaketler ve Acil Durum Komitesi (Disasters and Emergency Committee - DEC) web sitesini kırma girişimi engellenmiş. Metropolitan Polisi, Bilgisayar Suçları Birimindeki memurların söylediğine göre, BT'nin yılbaşı arifesinde yapılan kırma girişimini bloklamasının ardından bir soruşturma başlatılmış.

Virüslerin 20 Yıllık Tarihi

FZ
11 Kasım 2003, 1 dakika okuma süresi

Bu hafta bilgisayar virüslerinin 20. yıldönümü. Basit rahatsızlık veren küçük yazılımlardan tutun ülkelerarası ağları yavaşlatan ve televizyonlara çıkan, en ilgisiz insanların dahi ilgi alanına girmeye başlayan pek çok virüs söz konusu.

Belgelendirilmiş ilk virüs ABD´de doktora eğitimi esnasında bu tip bir çalıştırma gerçekleştiren Fred Cohen tarafından yazılmış durumda.

Şu anda dünya üzerinde yaklaşık 60,000 farklı virüs var.

Cohen o dönemde kullanılan VAX bilgisayarları üzerindeki VD isimli bir grafik programına geliştirdiği virüsü yerleştirmiş ve sistemdeki diğer yazılımlara nasıl bulaşılabileceğini pratik olarak göstermişti. Cohen, gerçekleştirdiği çalışmayı bir güvenlik seminerinde sunduğunda takvimler 10 Kasım 1983 tarihini gösteriyordu.

ShmooCon'06 Hacker toplantısı sona erdi!

sundance
16 Ocak 2006, 1 dakika okuma süresi

13-15 Ocak arası Washington DC'de düzenlenen hacker toplantısı ShmooCon oldukça hareketli geçmiş. Insecure.org'dan meşhur Fyodor'un Nmap'le Playboy.com'da pr0n aradığı sunumdan SimpleNomad'ın Windows yüklü makinalara wireless üzerinden erişilmesini sağlayan hack'ine kadar oldukça ilginç toplantılara sahne olmuş. Cisco VPN Conc.'larla ilgili bir sıfır gün açığının bile yayınlandığı etkinliği izleyip haberdar eden Emre Sağlam (a.k.a. Conan)'a teşekkürler.