Tôi đã hack báo Tuổi Trẻ như thế nào.

Làm cái tít cho giựt gân vậy chơi thôi, chứ thiệt ra chỉ có cái lỗi XSS nhỏ xíu à. và cũng không tự hào gì khi phát hiện ra lỗi của báo Tuổi Trẻ, vì trước mình đã có nhiều người phát hiện ra lỗi này.

Đến khi mình thông báo là: “Tôi phát hiện ra lỗi xss và tôi có thể tạo 1 trang báo giả mạo”. Thì gần như ngay lập tức sáng hôm sau có người gọi cho mình để nhờ hướng dẫn họ fix lỗi.

Dưới đây là Email làm việc giữa mình với 1 bạn bên Báo Tuổi Trẻ.

loi-xss-bao-tuoi-tre (4)

loi-xss-bao-tuoi-tre (1) loi-xss-bao-tuoi-tre (1) loi-xss-bao-tuoi-tre (2) loi-xss-bao-tuoi-tre (3)

 

Lỗi XSS là một lỗi rất phổ biến của các website trên thế giới, các chủ trang web lớn mặc dù đã biết lỗi này nhưng chủ quan không fix và Hacker thì chỉ chờ có vậy.

Chẳng hạn như website của Báo Tuổi Trẻ, bị lỗi XSS đơn giản trên thanh tìm kiếm điều này xem ra thì rất bình thường. Vì hầu hết các website đều như thế bị lỗi XSS trên thanh tìm kiếm. Nhưng với 1 trang báo lớn và uy tín thì hoàn toàn khác, một lỗi XSS thì có rất nhiều thứ hay ho để làm hãy xem nếu rơi vào tay kẻ xấu thì như thế nào nhé.

Nếu rơi vào tay kẻ xấu thì họ có thể làm những gì nhỉ:

  1. Tạo 1 bài báo giả mạo (Vâng rất đơn giản, vì XSS cho phép tiêm javascript nên có thể thay đổi hoàn toàn cấu trúc website HTML và viết 1 bài báo bằng HTML thì học sinh cấp 2 cũng làm được).
  2. Chuyển hướng đến 1 trang nào đó. (Vì dụ: Người nào đó share link cho bạn là đọc báo tuổi trẻ có tin giựt gân, nhưng khi bạn click vào thì ra 1 trang khác, web sex, trang có cài virus chẳng hạn)
  3. Yêu cầu người dùng cài phần mềm, ứng dụng, addon, plugin… độc hại (Cũng đơn giản nhỉ)
  4. Tạo một form nhờ quyên góp tiền làm từ thiện, quyên góp cho ai đó bị tai nạn chẳng hạn. Và hacker chỉ đưa STK ngân hàng nào đó rồi chờ rút tiền thôi.
  5. Chèn iFrame, Form để thu thập thông tin người dùng. (Yêu cầu người dùng đăng nhập Facebook để nhận 1 phần quà chẳng hạn… người ta sẽ chẳng nghi ngờ gì cả vì trang uy tín mà.)

Dưới đây là Video demo.

Tìm ở google:
  • tôi đã hack lozi
  • để báo tuổi trẻ đăng bài thì phải làm như thế nào
Updated: 04/09/2016 — 6:12 chiều
Tăng Dương Triều © 2017