Ricorso sicurezza: le vulnerabilità

Day 4,242, 13:14 • Published in Italy Croatia • by Mr. knower

Buongiorno popolo,
dopo un attenta analisi vi vogliamo portare la prima parte del nostro test effettuato su questo sito.
1° parte:
Introduzione generale:
Questo sito si dimostra per lo più sicuro, con poche carenza visibili nell'
ambito cookie, subito potreste chiedervi: "Cosa mi dovrebbe importare di questo? Semplicemente, anche se disabilitati, possono essere d'ispirazione
all'attaccante per andare a ricorrere ad un attacco di tipo XSS
(Cross site scripting).
Cookie:
Molte volte noi sentiamo questo termine, quasi sempre prospettato dai
"gestori" dei server come cosa positiva e soprattutto: SICURA.
Mi duol dirlo ma la verità è un altra, i cookie possono essere usati
positivamente, ma il problema è un altro, la loro vulnerabilità.
Diamo un attimo un occhiata:
erpk_plang e erpk:
Flag mancanti:
Secure, HTTP only.
__cfdui😛
Flag mancanti:
Secure.
Cosa significa questo? La flag Secure serve a fa il modo che una valuta
sia inviata tramite un canale criptato, se questa flag non è presente il
browser la manda in un canale non criptato. Questa è una cosa molto
importante perché aiuta eliminando il processo di decriptazione.
Invece è anche molto importante la mancanza della flag HTTP only, infatti
essa ha l'obbiettivo di non far accedere programmi client-side ai vari
dati.
Rischi:
I rischi sono visibili fin da più o meno 1-2 anni dalla pubblicazione
di questo gioco, molti si chiederanno come mai. Fin da quel tempo
ci furono i primi attacchi di phishing ad alcuni giocatori, questo
possiamo ricollegarlo a due fattori: La presenza di molte API che
permettono di accedere a vari account avendo username e password
(Questi valori potevano essere rubati facilmente) e soprattutto
la presenza di varie vulnerabilità, mentre un attacco clickbaiting di
per se è semplice, quando combinato a più fattori oppure al più mero
cross site scripting (Es. metti questa linea di codice nella barra di
ricerca del browser ed avrai oro infinito). I rischi derivanti da questa
sono molti.

Per oggi è tutto, arrivederci.
Se vuoi donare ITL o gold puoi farlo, questo ci aiuterà a poter migliorare.