Twitter zasiahol útok konkurenta

Ako jednoducho možno napadnúť populárnu službu bez toho, aby ste potrebovali získať kontrolu nad jej servermi? Cez víkend to svetu ukázal iba sedemnásťročný programátor Michael Mooney.

Napadol používateľské kontá stoviek používateľov mikroblogovacej služby Twitter.com. Šíril vďaka tomu v rámci služby reklamu na konkurenčný server StalkDaily.com. Najskôr útok popieral, potom sa pred médiami priznal.

Útok–neútok

Michael využil techniku tzv. „cross-site scripting“ útoku. Po tom, čo používateľ navštívil nastrčený profil, infikovaný skript sa pridal aj do jeho vlastnej stránky. Zároveň útočník získal kontrolu nad jeho profilom a začal v jeho mene odosielať príspevky používateľov, ktorí ho majú pridaného vo svojom profile.

Serveru Twitter.com sa chybu podarilo opraviť až po niekoľkých desiatkach hodín, škodlivé kódy museli odstrániť z desiatky tisíc profilov. K heslám sa útočník nedostal – získal iba konktrolu nad konkrétnym pripojením používateľa ku stránke uloženom v cookies súboroch.