Jump to content

Google cross domain frame injection vulnerability


Boss_Med
 Share

Recommended Posts

syndicate.gif Google cross domain frame injection vulnerability

 

Written by Dimitris Pagkalos

 

Saturday, 11 October 2008

 

googlebug1.jpg

 

Dan Goodin wrote a good article on TheRegister.co.uk about the titled issue.

 

This is not really a new vulnerability. Stuarty first submitted this frame injection/redirect to our archive on July 2007. It is also known for more than 2 years as a method to hijack Google accounts.

 

Nevertheless, Adrian 'pagvac' Pastor from the GNUCitizen team provided a great demonstration on how attackers/phishers can exploit this bug to steal users' cleartext authentication credentials with a fake Google account login page.

 

"The result is this page, which allowed him (at time of writing, anyway) to display a fraudulent Gmail login page that displayed mail.google.com in the browser's address bar." !!!DO NOT ENTER YOUR CREDENTIALS!!!

 

Screenshot:

 

googleframeinjection.JPG

 

After a long long time...

 

"A Google spokesman said company security pros were looking into the reports."

 

C'mon Google security team! Please fix this bug for once again in record time!

 

More Google frame injections and open redirects HERE. 8-)

 

Thanks again to Adrian and Aviv for throwing light on this issue! ;-)

 

source

Link to comment
Share on other sites

Youuuuuuuuuuuuuuuu

 

Merci Boss_Med, énorme vulnérabilité de la part de Google, laisser des pages externe s'afficher dans une frame appartenant a une page Google c'est énorme.

 

Cette technique risque de tromper plusieurs utilisateurs (surtout si elle utilise un nom de domaine proche de google.com) et détourne facilement les algorithmes de détection du phishing qui se basent sur la verification de l'URL de la page.

 

On peut même afficher forumdz dans un page mail.google.com et le pire est que la page permet l'envoi de requêtes POST et même GET à la page qui se trouve dans le frame de manière entièrement transparente.

 

Edited by assilabox
Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share



  • Posts

    • Personnellement sur LG content store il y a de quoi faire avec les applications IPTV. Sur la mienne j’ai un large choix
    • Les anciens LG étaient sous WebOs et certains sous Android TV
    • Merci pour ce quelques pistes... Mais bon Mangas... Il y en a déjà ici dispo sur fb à gogo !... Pour pas cher et personne n'en veut.. Pour les livres de langues... C'est un truc de niche... Donc pas intéressant @hotsauce3 Ben si mon ami va venir en personne via bâteau... @mahdidu10 Ben les instruments sont dispo en algerie ! Déjà cela fait 10 ans que yamaha algerie proposent de tout !!!  Y'a aussi divers magasins sur Alger... Mais bon es ce que ça marche...? Non je ne crois pas. Du coup  part les consoles... Rien de concret
    • Sinon il y a un marché niche : les langues étrangères. Pas l'anglais et le français, mais surtout le coréen, japonais ( et un peu mandarin ) . Les bouquins d'apprentissage sont inexistants, comme le japonais ( langue que je suis entrain d'apprendre ) . Et ça peut rapporter très gros, car les livres coûtent assez cher ( de 30€ à 50€ ) et la population qui apprend ces langues est plutôt aisée. Si il arrive à faire un site, qu'il sponsorise des vidéastes d'anime ( public ciblé ) , il s'en sortira très aisément et il aura le quasi-monopole des livres d'apprentissages. Il pourrait commencer par acheter des Minna no nihongo ( les livres de bases ) et les vendre, et même vendre des mangas ...    Deuxième idée, c'est les instruments de musique : je n'ai jamais vu un magasin d'instruments de musique de ma vie, secteur niche mais clients très aisés. 
    • pas Rassurant tout ça !! et moi qui nourissais l'espoir de voir du 50 megas chez moi cet été !!! je vais devoir me contenter de mes petits 20 megas qui font l'affaire j'avoue!! mais bon ....on espérait mieux ...
×
×
  • Create New...