ASafety - AntiSecurity Un projet qui vous tiendra @coeur...

[x[@♥]]

Hacker Uses XSS and Google Street View Data to Determine Physical Location

Excellente présentation à la BlackHat session 2010! Puissante, vraiment bien expliquée, slides clairs et beaucoup d'humour, vous allez aimer!

Le principe est simple de la géolocalisation, mais relativement difficile à appliquer. Je m'explique.

Le pirate génère une page web ouvrant des iframes sur des URL précise, locale, de page sur un possible routeur de telle ou telle marque.

Si la page se charge complètement (évènement "onload"), alors c'est que la machine qui visite et visionne la page possède bien un routeur de la marque.

De là, le pirate invoque une URL précise du routeur qui a été identifié en vue d'y injecter un script JavaScript pour que le routeur envoie sa propre adresse MAC à un serveur distant par AJAX (le serveur du pirate). Pour cela, il est indispensable que le pirate est décelé une vulnérabilité XSS au sein de l'interface web d'administration de chaque routeur (pas une mince affaire).

En injectant son XSS, le routeur envoi sa propre @MAC au serveur distant, puis, le pirate ayant recueillit ces informations peut réaliser une géolocalisation avec Google Street View et l'interface JSON de ce dernier :

Code: Tout sélectionner

http://www.google.com/loc/json

Une belle tuerie! Certes compliquée à mettre en place et à réaliser la liste la plus exhaustive possible des routeurs infiltrable possédant une XSS, mais possible!

Samy Kamkar, in an incredibly interesting session at Black Hat titled “How I Met Your Girlfriend,” highlighted new types attacks executed from the Web. An interesting hack he demonstrated, was the ability to extract extremely accurate geo-location information from a Web browser, while not using any IP geo-location data.

Kamkar, by convincing the victim to visit his malicious Web site, used remote JavaScript and AJAX to acquire a routers MAC address. When the unsuspecting user visited his malicious Web site, JavaScript remotely scanned for the type of router used, accessed the routers MAC address and sent it directly to him. From there, he was able to utilize Google Street View data to determine the location of a router – in his case, accurate within 30 feet.

Kamkar, author of an XSS worm that hit MySpace and generated over 1mm friends for him in less than 24 hours, demonstrates this hack in the video below.

Src & video here!