Firefox anti-phishing beveiliging eenvoudig te omzeilen
Firefox 2.0 is voorzien van een ingebouwd phishingfilter om gebruikers tegen nepsites te beschermen. Zo worden bezochte sites vergeleken met een lijst van bekende phishing sites, maar is er ook een feature die alle geopende pagina's controleert aan de hand van een online database, zodat gebruikers ook voor de nieuwste phish gewaarschuwd worden.
Het is voor phishers echter kinderlijk eenvoudig om het filter te omzeilen. Zorgt http://www.mozilla.com/firefox/its-a-trap.html ervoor dat Mozilla's browser een waarschuwing geeft. Worden er echter wat slashes aan de URL toegevoegd, dan werkt het filter niet meer, zoals deze URL aantoont: http://www.mozilla.com/firefox////its-a-trap.html. Het "ongepatchte lek" is aanwezig in Firefox 2.0.0.1, 2.0.0.2 en 2.0.0.3.
omzeilen zeg....
Overigens wel leuk om dat phishingfilter nu eindelijk eens
in werking te zien.
FireFox handelt dat netjes af vind ik.
bezoekt, wordt er 'en-US' in de url toegevoegd, en voor die
url http://www.mozilla.com/en-US/firefox/its-a-trap.html
wordt sowieso geen waarschuwing gegeven.
Lijkt dus eerder op een feauture van de webserver dan van de
browser.
trap.html bekend is in de database bij mozilla, en
http://www.mozilla.com/en-US/firefox/its-a-trap.html niet, het blijft natuurlijk
maar een voorbeeld
Trouwens, ook
http://www.mozilla.com/firefox/its-a-trap.html? wordt niet
gedetecteerd... en
http://www.mozilla.com./firefox/its-a-trap.html ook niet..
Dit is natuurlijk simpel op te lossen; alle dubbele slashes,
alles na de bestandsextensie en de DNSroot verwijderen, en
dan pas tegen de lijst aan houden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
