באג בזאפ

קישור לאתר:
www.zap.co.il
זאפ זהו אתר ישראלי המשמש כמנוע השוואת מחירים. ללא ספק, אחד האתרים הישראלים החזקים בנוגע לצרכנות בנט!
באתר יש שירות שנקרא "זאפ שלי", והוא נועד בעיקר לקבלת עידכונים ולמעקב אחרי המוצרים. אם תיצרו שם משתמש ותכנסו בשמכם, אז הפרטים שלכם ישמרו בעוגיות, לפי הפירוט הבא;
      *שם המשפחה של המשתמש יופיע תחת השם Coouserpname, ובו השם שכתבת.
      *שם המשתמש יופיע תחת השם Coouserfname ובו שם המשתמש שכתבת.
      *האימייל יופיע תחת השם Cooemail.
      *האיי די יופיע תחת השם CoouserID.
      *ועוד... לא חשובים.

כפי שבוודאי שמתם לב, נכנסתם על השם שלכם עם הסיסמא, וכשאתם חוזרים לאתר מאוחר יותר והוא זוכר אתכם לפי הקוקיז אז הוא לא בודק את הסיסמא. הפרטים שלמעלה מספיקים לו. משמע, אפשר להכנס בכל שם שנרצה מבלי לדעת את הסיסמא.
אז אחרי מעקב קטן בדקתי עם איזה ערך משווה האתר עם המסד כדי לבדוק את רשימת המעקבים. שינתי את שם המשפחה, וזה פשוט הציג לי אותו עם שאר הפרטים שלי (כולל המעקבים). שינתי את שם המשתמש והתוצאה זהה לקודמה (אגב, אפשר להריץ ככה גם סקריפטים. אבל יש cross site scripting הרבה יותר טוב... אני אכתוב עליו בהמשך), ככה גם עם המייל, אבל לא עם האיי די! כלומר, המערכת בודקת את רשימת המעקבים שלך לפי מספר האיי די. אם נשנה את האיי די לכל איי די אחר, ניהיה על השם משתמש של אותו האיי די, ונראה את המעקבים שלו.
אז כדי לערוך את הקוקיז נוריד את התוכנה cookie editor, נערוך את הקוקיז בשם CoouserID מהדומיין של זאפ. תשנו את מספר האיי די לכל מספר איי די שאתם רוצים, תסגרו את הדפדפן כדי שזה לא ינסה להיכנס דרך הסיסון ועכשיו תחזרו לדף של "הזאפ שלי", ואתם בשם המשתמש של הקורבן, ואתם רואים את המעקבים שלו.
חיפשתי ניצול קצת יותר ממשי של הבאג. משהו כמו כרטיסי אשראי וכאלה (לא כדי לנצל את זה, אלא בשביל חומרת הפירצה), אבל אין =/. טוב אז נסתפק במה שיש ;-).
והנה באג נוסף:
זאת הכתובת של החיפוש:
http://www.zap.co.il/gsearch.asp?g=1&x=0&y=0&keyword=xxx
xxx זאת מחרוזת לחיפוש, תשנו אותה למה שאתם רוצים כולל להרצת סקריפטים, והופ.... יש לנו פה css :).

נכתב על ידי NotKok.
דרכים ליצירת קשר:
icq:164543669
email:notkok@walla.com
Skype:notkok