Browser Challenge - Test numero 10

Effetti possibili: Internet Explorer, se non correttamente aggiornato con le patch di sicurezza, visualizza nella barra di navigazione un indirizzo diverso da quello effettivo, consentendo truffe di ogni sorta (un sito-truffa può spacciarsi per la vostra banca, per esempio).

Avvertenze

Questo test non interferisce con il funzionamento del browser e non comporta alcun pericolo. E' una pura e semplice dimostrazione.

Alcuni antivirus potrebbero segnalare la presenza di un pericolo, chiamandolo per esempio "Exploit-URLSpoof.gen". E' un falso allarme: l'antivirus riconosce correttamente un codice presente in questa pagina che viene usato dai siti-truffa, ma qui non correte alcun pericolo, dato che non vi voglio truffare. Ripeto: questa è una dimostrazione innocua. Se comunque non vi fidate, lasciate questa pagina: amici come prima.

Istruzioni

Pulsante Indietro

Avvertenze di copyright: non intendo violare alcun copyright con la pagina che compare cliccando su "Procedi con il test". I marchi e i contenuti visualizzati appartengono ai rispettivi proprietari e sono citati soltanto a scopo dimostrativo per rendere realistica l'illusione. Verranno rimossi se richiesto, anche se questo rovinerà l'effetto.

Aggravanti

Un lettore, "parucca", riferisce che con Internet Explorer non patchato (come descritto sotto) "non solo si legge www.microsoft.com, ma anche la toolbar di Google dice che il rank è 9/10, quindi pensa di stare davvero sul sito Microsoft!".

Attenuanti

Internet Explorer senza la patch citata sotto visualizza fugacemente il vero indirizzo del sito nella barra di stato (quella che di solito sta in basso) durante il caricamento della pagina. Se il caricamento è lento, si ha tempo di notarlo. L'indirizzo reale è mostrato anche al passaggio del mouse sui link attivi (effetto tuttavia eliminabile).

Si può usare il comando File-Proprietà di Internet Explorer non patchato per visualizzare l'indirizzo per intero (grazie a "gamptw" per il suggerimento).

Tuttavia esiste una variante di questa falla in cui (sempre con IE non patchato) il vero indirizzo non compare nella barra di stato passando il mouse sul link ingannevole e neppure il comando File - Proprietà fornisce informazioni utili: basta mettere il carattere esadecimale 01 seguito da "%00" al posto di "%01", come per esempio in http://www.sitoapparente.com[01]%00@sito.effettivamente.visitato.com. Grazie a "fulviolo58" per la segnalazione.

Soluzioni

Usare un browser diverso da Internet Explorer. Opera, per esempio, è esente da questa vulnerabilità almeno dalla versione 7.03.

In alternativa, Microsoft ha rilasciato una correzione, che è disponibile presso il sito Microsoft usando la funzione Windows Update. La correzione si chiama "MS04-004 Cumulative Security Update for Internet Explorer (832894)" o "Pacchetto cumulativo di aggiornamenti della protezione per Internet Explorer 6 Service Pack 1 (KB832894)". I dettagli tecnici sono presso http://support.microsoft.com/default.aspx?scid=kb;en-us;Q834489. La correzione è consigliata a tutti gli utenti di Windows, compresi quelli che non usano Internet Explorer: infatti il servizio Windows Update di Microsoft dice esplicitamente, durante l'installazione della correzione, che la falla "riguarda tutti i computer che hanno Internet Explorer installato, anche se non viene utilizzato come browser Web".

Una volta installata la correzione, Internet Explorer dovrebbe rispondere a questo test dicendo che la pagina non può essere visualizzata e visualizzando nella barra dell'indirizzo il vero indirizzo della pagina.

Spiegazione

Internet Explorer, nelle versioni 5 e 6 per Windows non completamente patchate, non visualizza correttamente gli URL. Se gli si assegna un URL contenente il codice "%01", visualizza soltanto la parte dell'URL che precede il codice. Pertanto, un URL come quello usato in questa dimostrazione, ossia http://www.microsoft.com%01@www.attivissimo.info/security/fakesites2/demo.htm, viene visualizzato soltanto come http://www.microsoft.com. La vulnerabilità di IE5 è confermata anche da "alexmagg".

Fonti

La vulnerabilità non l'ho scoperta io; la sto semplicemente segnalando come hanno fatto molti altri siti. E' stata scoperta, a quanto mi risulta, da Zap the Dingbat, come riferito nella mailing list Bugtraq (http://www.securityfocus.com/archive/1/346948), il 9 dicembre 2003.

Segnalazioni dei lettori

Moltissimi lettori hanno confermato la vulnerabilità del loro Internet Explorer. Ringrazio tutti per la collaborazione.