[]
Sözlük hesabı hack'lenenler
Merhaba,
Sözlükte olan şu olaydan bahsetmiyorum ama buna benzer.
www.eksiduyuru.com
Dün burada bir duyuru vardı ve sözlük yazarlarının bir linke tıklamasını istiyordu, yardım amaçlı olduğunu iddia ediyordu. Bu linke tıklayan (e-posta, vb. girmeden, sadece tıklama) iki kişinin sözlük hesapları hack'lendi. Acaba başka kimse var mı diye sormak istedim.
Sözlükte olan şu olaydan bahsetmiyorum ama buna benzer.
www.eksiduyuru.com
Dün burada bir duyuru vardı ve sözlük yazarlarının bir linke tıklamasını istiyordu, yardım amaçlı olduğunu iddia ediyordu. Bu linke tıklayan (e-posta, vb. girmeden, sadece tıklama) iki kişinin sözlük hesapları hack'lendi. Acaba başka kimse var mı diye sormak istedim.
Bu işlemi yapan kişi @ahoy kaptan. bu nedenle hacklendiklerini sanmıyorum. ben de o linke tıkladım. acaba şifremi ve adresimi değiştirmeli miyim yoksa?
- teknikekip
(12.05.16 16:23:32)
İki kişiden bu şekilde bir haber aldık. Acaba gerçekten öyle mi, başka sorun var mı diye merak ediyoruz.
- aychovsky (12.05.16 16:31:39)
3. Parti yazilim kullanmiyor muymus bu arkadaslar ? Sadece Linke tiklayarak hesap hacklenecegini zannetmiyorum .
- scars dont fade (15.05.16 08:42:07)
Yok, olay daha farklı boyutta imiş. Sub etha kısmında bir güvenlik açığı oluşmuş ve ahoy kaptan bizi kurtarmış sağ olsun.
- aychovsky (15.05.16 19:03:10)
sifrelerin ele gecmesi gibi bir durum yok, en azindan benim buldugum zafiyetle alakasi yok bunun.
sub-etha sitelerine get request ile giriliyordu, bu get requestte csrf token/referral check/iframe protection yoktu. eger hali hazirda eksisozlukte oturumunuz acik ise, herhangi bir site uzerine yerlestirilecek kod ile sizi sub-etha sitelerine login edebiliyordu(eksisozluk'teki acik bu kadar).
sikintinin diger ayagi, sub-etha sitelerinin sozluk disinda gelistirilmesi ve cogunun guvenlik onlemlerinin inanilmaz zayif olmasi. yukarida anlattigim sekilde bir yazari sub-etha sitesine login ettirdikten sonra, oradaki zafiyeti kullanip rahatca nickname'ini vs. alabiliyorsunuz ya da o sub-etha sitesinde istediginiz islemi yaptirabiliyorsunuz(sub-etha sitesindeki aciklara bagli).
bende bunu sozluk yazilimcilarindan birine bildirdim, eksisozluk kismini hemen cozduler. durum budur yani
sub-etha sitelerine get request ile giriliyordu, bu get requestte csrf token/referral check/iframe protection yoktu. eger hali hazirda eksisozlukte oturumunuz acik ise, herhangi bir site uzerine yerlestirilecek kod ile sizi sub-etha sitelerine login edebiliyordu(eksisozluk'teki acik bu kadar).
sikintinin diger ayagi, sub-etha sitelerinin sozluk disinda gelistirilmesi ve cogunun guvenlik onlemlerinin inanilmaz zayif olmasi. yukarida anlattigim sekilde bir yazari sub-etha sitesine login ettirdikten sonra, oradaki zafiyeti kullanip rahatca nickname'ini vs. alabiliyorsunuz ya da o sub-etha sitesinde istediginiz islemi yaptirabiliyorsunuz(sub-etha sitesindeki aciklara bagli).
bende bunu sozluk yazilimcilarindan birine bildirdim, eksisozluk kismini hemen cozduler. durum budur yani
- ahoy kaptan (15.05.16 21:14:56 ~ 21:23:05)
- teknikekip (16.05.16 09:59:13)
1
