HTTP BA da un server diverso [duplicato]

1

C'è una strana situazione in cui sono bloccato riguardo all'autenticazione di base HTTP.

Di seguito è una situazione ipotetica:

Diciamo che c'è un certo dominio, diciamo link e c'è un certo URL come: link che myfacebook.com ha progettato in modo che gli utenti possano condividere le loro foto del profilo tra loro senza nemmeno accedere al sito.

anyImageURL può essere qualsiasi URL presumendo che myfacebook.com voglia dare flessibilità ai propri utenti per caricare qualsiasi immagine qui da qualsiasi posizione.

Ora anche per reiterare, assumiamo che l'URL sia accessibile a chiunque pubblicamente senza alcuna autenticazione.

Ora assumiamo uno scenario di attacco:

Un utente malintenzionato prende l'URL link dalla cache di google (che trova ad esempio usando alcuni dork di Google) e sostituisce anyImageURL con un server che ha ospitato consente di dire link . E diciamo che l'autore dell'attacco aveva configurato il link per servire la pagina 401 (pagina Auth di base HTTP)

E invia il seguente URL alla vittima per fare alla vittima una richiesta finale come: link

Ora quando una vittima SOSPETTAZIONE fa clic sull'URL link la vittima viene presentata con HTTP BA pop-up e può essere indotto ad entrare nel suo myfacebook. com credenziali.

Ora la mia domanda è:

If at all the victim enters his credentials and submits them WHERE WILL THESE CREDENTIALS GO ? To myfacebook.com server because the page itself is being hosted on myfacebook.com or to attacker.com because the HTTP BA came from attacker.com ?

    
posta qre0ct 23.01.2015 - 11:30
fonte

2 risposte

2

Le credenziali vanno al server richiedendole, in questo caso, il server che serve l'immagine. (attacker.com nel tuo esempio.)

Questo è chiamato attacco di phishing 401 e, sebbene raro, l'ho visto in the wild, quindi è qualcosa che devi considerare se hai intenzione di permettere che le immagini vengano caricate da domini arbitrari.

    
risposta data 23.01.2015 - 18:31
fonte
1

Suppongo che il server acquisisca il contenuto del parametro imgURL e lo utilizzi per costruire un tag che verrà incluso nella pagina Web generata.

Per rispondere alla tua domanda, in tale scenario le credenziali verranno inviate al server che richiede l'autenticazione, es. attacker.com.

In ogni caso questo sembra essere un duplicato di questo thread .

    
risposta data 23.01.2015 - 18:07
fonte

Leggi altre domande sui tag