Robando claves por XSS del Administrador de Contraseñas del Firefox

  • 2 Respuestas
  • 2984 Vistas

0 Usuarios y 1 Visitante están viendo este tema.

Desconectado DeuSer

  • *
  • Underc0der
  • Mensajes: 64
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
Gracias a un mensaje de Tom Brennan, Jaime Andrés nos informa sobre un problema en el Administrador de Contraseñas del Mozilla Firefox, que permite a un atacante mediante XSS (Cross-site scripting) obtener la clave de un usuario almacenada en el navegador.



El problema se encuentra en que el administrador de contraseñas del Mozilla Firefox , no valida adecuadamente el formulario desde el cual se guarda la clave en el administrador de contraseñas, por lo tanto si a la pagina donde se encuentra el formulario de logueo se le puede realizar un XSS es posible agregar un formulario con un campo oculto del tipo “password” y al acceder a ella, firefox no solo llenara el formulario real de acceso automáticamente, sino también el formulario oculto que acabamos de inyectar.



Si le echamos un vistoso al formulario utilizando el plugin Web Developer para el Mozilla Firefox, encontramos que efectivamente el Administrador de Contraseñas, nos llenó el formulario oculto que colocamos en la pagina mediante XSS con nuestra clave de acceso:



El código utilizado para robar la información del Administrador de contraseñas en el Mozilla Firefox:

Citar
<script> document.write('<form><input id=p type=password style=visibility:hidden></form>'); setTimeout('alert("Password: " + document.getElementById("p").value)', 100); </script>

Podemos modificar el formulario para que nos envié la contraseña capturada a un archivo en el que puede ser almacenada o enviada por correo electrónico, pero en esta prueba de concepto no lo realizaremos.

En este caso contar con “clave maestra” en el administrador de contraseñas del Mozilla Firefox no supone una “barrera” para que obtengan nuestras claves, ya que una vez ingresada la clave maestra, el Firefox llenara de todas formas el formulario con nuestra clave.

Aunque posiblemente una técnica similar pueda funcionar en otros navegadores, he realizado pruebas en Google Chrome, Safari y Opera siendo el Mozilla Firefox el único afectado.

Recomendaciones:

    * Utilizar el plugin NoScript (si no hay inyección de código, no hay problema)
    * No utilizar el Administrador de Contraseñas de Mozilla Firefox (ya hemos demostrado que no es recomendable, ni en firefox, ni en ningún navegador), en vez de el utilizar servicios gratuitos como LastPass (al que por cierto le debo un articulo entero)

Mas Información:
XSS demo for stealing passwords from the Firefox password manager

Fuente

Desconectado OSX

  • *
  • Underc0der
  • Mensajes: 111
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
    • Email
Buen post deuser!  ;D

Desconectado Pa531no5

  • *
  • Underc0der
  • Mensajes: 225
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
Muy buen aporte, genial!!

 

Bypassear FuckingScan[Mozilla Firefox]

Iniciado por Matabarras

Respuestas: 1
Vistas: 2721
Último mensaje Abril 16, 2014, 07:07:42 am
por meteor0
Administrador Gráfico de Cyber Ataques para Metasploit

Iniciado por staRgan

Respuestas: 2
Vistas: 3399
Último mensaje Junio 26, 2011, 11:58:52 pm
por Ch05piN
Escalando privilegios en cms joomla(1.6/1.7/2.5.2) Administrador/Super Admin

Iniciado por andrewtwo

Respuestas: 3
Vistas: 4369
Último mensaje Febrero 25, 2013, 02:58:51 pm
por jomavara
Crackear password de administrador en windows usando Backtrack 3

Iniciado por dracko.rx

Respuestas: 0
Vistas: 3546
Último mensaje Febrero 25, 2010, 11:25:50 am
por dracko.rx