Pequenas falhas podem causar problemas de confiabilidade em Links do portal globo.

Pequenas falhas pedem causar problemas de confiabilidade em Links do portal globo.

Antes de postar, gostaria de dizer que este texto foi baseado em uma aula do curso ASCD da Insecuritynet, com permissão de toda a equipe.

Às vezes vários webmasters têm grandes preocupações com ataques mais técnicos como DDOS, injeção de códigos no site, etc. Mas deixam de lado coisas muito simples que podem comprometer seriamente a credibilidade e confiabilidade de um Site.

Veja o portal: globo.com

Falha em funções de redirecionamento
Vários arquivos com “redir.php”, “redir.asp”, etc. não oferecem nenhum tipo de proteção contra redirecionamentos para links indesejados.

Veja este site: http://globosat.globo.com

Veja que não podemos listar arquivos do diretório “newsletter”
http://globosat.globo.com/newsletter/

Não podemos listar, mas podemos acessar um script muito importante: “redir.asp” que pode redisrecionar o contudo da pagina para qualquer endereço.
http://globosat.globo.com/newsletter/redir.asp

Veja que se trata de um “frame” onde podemos inserir “outra pagina” dentro da pagina em questão. Vamos fazer o globo.com exibir noticias de seu rival “r7”
http://globosat.globo.com/newsletter/redir.asp?url=afazenda.r7.com/

Perigo Real.

A princípio isto parece ser apenas um jogo de quebra cabeça inocente, mas o fato é que o nome globo.com pode ser usado para dar falsas noticias, por exemplo:
Algum Script Kiddie inventa uma suposta atualização e diz que estava no portal da globo e publica o link:
http://globosat.globo.com/newsletter/redir.asp?url=edinhoinsecuritynet.xpg.com.br/fal_atuali.html

Publicar falsas noticia, utilizando a credibilidade do portal.
--------------------------------------------------
Audi esta sendo vendido à 5800 Reais
Fonte: Globo.
http://globosat.globo.com/newsletter/redir.asp?url=edinhoinsecuritynet.xpg.com.br/noticia.html
------------------------------------

Os usuários leigos não possuem a obrigação de saber que se trata de um “redir”, apenas iram ver que o domínio é real e esta no site da GLOBOSAT.

Como se isto não bastasse é possível criar links de downloads utilizando o portal.

Um grande portal possui uma reputação, credibilidade e confiabilidade, e esta simples falta de atenção na programação do site possibilita que outras pessoas explorem a confiabilidade do portal para postar coisas indevidas.
No curso têm vários outros exemplos insegurança na web. Para maiores informações acesse:
http://www.insecuritynet.com.br/about_ascd/

Hoje é 18/11/2010, caso o portal corrija a falha, avisem nos comentários.