Comments on: Libero.it e XSS: pericolo credenziali! http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/ Matteo Flora parla di WebApp Sec e New Media Sun, 07 Sep 2008 10:18:18 +0000 http://wordpress.org/?v=2.6.1 By: Advisory: PLURIME vulnerabilità su Infostrada.it Libero.it 0 LastKnight.com - Matteo Flora http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-52859 Advisory: PLURIME vulnerabilità su Infostrada.it Libero.it 0 LastKnight.com - Matteo Flora Wed, 02 May 2007 20:28:32 +0000 http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-52859 <p>[...] saga delle vulnerabilità sul portale di Libero.it sembra destinata dopo il primo advisory di Rosario Valotta ed il mio advisory di ieri ad avere altri interessanti risvolti, come accennavo proprio nella [...]</p> [...] saga delle vulnerabilità sul portale di Libero.it sembra destinata dopo il primo advisory di Rosario Valotta ed il mio advisory di ieri ad avere altri interessanti risvolti, come accennavo proprio nella [...]

]]> By: Matteo G.P. Flora http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-43899 Matteo G.P. Flora Wed, 28 Mar 2007 09:32:16 +0000 http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-43899 <p><strong>@Antix</strong> </p> <p>Ci andrei piano con i <strong>"falso allarme"</strong>...<br /> ne parlo <a href="http://www.lastknight.com/2007/03/28/ancora-su-liberoit/" rel="nofollow">QUI</a></p> @Antix

Ci andrei piano con i “falso allarme”…
ne parlo QUI

]]> By: aNt1X http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-43890 aNt1X Wed, 28 Mar 2007 09:00:29 +0000 http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-43890 <p>Falso allarme:</p> <p>"Non è vero - spiega Libero a PI - che la stringa codificata in MD5 contenga la password. Se anche la stringa venisse decodificata, non si otterrebbe la password, né altri strumenti utili per accedere in qualsiasi modo agli account". Il che non deve sorprendere: la password può essere infatti ritoccata con strumenti ad hoc prima della cifratura vera e propria, rendendo quindi inutilizzabile l'eventuale dato decifrato. Per ricostruire dall'informazione decodificata la password vera e propria, spiega Libero, occorrerebbe avvalersi di strumenti proprietari predisposti dal portale e disponibili esclusivamente per i propri tecnici.</p> <p>"Nel cookie - sottolinea Libero - c'è solo una mistura di dati che serve a noi per offrire il servizio", e nessun'altra informazione utile.</p> Falso allarme:

“Non è vero - spiega Libero a PI - che la stringa codificata in MD5 contenga la password. Se anche la stringa venisse decodificata, non si otterrebbe la password, né altri strumenti utili per accedere in qualsiasi modo agli account”. Il che non deve sorprendere: la password può essere infatti ritoccata con strumenti ad hoc prima della cifratura vera e propria, rendendo quindi inutilizzabile l’eventuale dato decifrato. Per ricostruire dall’informazione decodificata la password vera e propria, spiega Libero, occorrerebbe avvalersi di strumenti proprietari predisposti dal portale e disponibili esclusivamente per i propri tecnici.

“Nel cookie - sottolinea Libero - c’è solo una mistura di dati che serve a noi per offrire il servizio”, e nessun’altra informazione utile.

]]> By: Davide Denicolo http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-43551 Davide Denicolo Tue, 27 Mar 2007 11:45:59 +0000 http://www.lastknight.com/2007/03/27/liberoit-e-xss-pericolo-credenziali/#comment-43551 <p>Un problema simile ( XSS injection ) lo riscontrai tempo fa nella sezione "Speed Test"; la risoluzione fu quasi immediata, grazie probabilmente all'intervento di Punto Informatico: http://punto-informatico.it/p.aspx?id=1477632</p> Un problema simile ( XSS injection ) lo riscontrai tempo fa nella sezione “Speed Test”; la risoluzione fu quasi immediata, grazie probabilmente all’intervento di Punto Informatico: http://punto-informatico.it/p.aspx?id=1477632

]]>