Кража пароля от Gmail аккаунта

Позавчера, Oren Hafif известный багхантер обнаружил уязвимость в Gmail. Точнее говоря, не одну уязвимость, а целую цепочку, которая позволяет угнать пароль от аккаунта.

Для тех, кто не хочет читать, но любит смотреть видео может сразу взглянуть на результат ^[1].
Первым делом необходимо было отправить жертве фишинговую ссылку, которая выглядела как настоящая:

После клика, клиента отправляет на специально сформированную страницу с JavaScript кодом, который благодаря CSRF отправляет запрос на https://www.google.com/accounts/recovery/verifyuser?jsEnabled=False&preoption=1&Email=' + location.hash.split("Email=")[1] + '&Email2=, затем берет полученный из параметров email и производит редирект на нужную ссылку вида: https://google.com/accounts/recovery/ktpass?rpu=EVIL_JS. Уязвимым параметром является rpu, который позволяет выполнять произвольный JS код. Далее происходит отрисовка формы ввода пароля.

Передав в параметре rpu нужный нам JS, можно отследить результат ввода пароля, а затем передать данные на сниффер.

За данную уязвимость Google заплатил Орену 5100$ по программе вознаграждений за найденные уязвимости. ^[2] Я думаю достойная награда.

Всегда есть уязвимые места, даже у такого гиганта как Google. Стоит только поискать.

Автор: akamajoris

Источник ^[3]