Blogger 0Day: Hack

ဒီ zero day က 2012 ကဆုိေတာ့ ၾကာျပီထင္ပါတယ္။ အလုပ္ျဖစ္မယ္လည္းမထင္ပါဘူး။ ျပီးေတာ့ Chance လည္းအရမ္းနည္းပါးမယ္ထင္ပါတယ္။  ဗဟုသုတအေနနဲ႔ပဲဖတ္ၾကည့္ေပါ့ဗ်ာ။ ေျပာရမယ္ဆုိရင္ admin ေတြရဲ႕အမွားတစ္ခုလုိ႔ဆုိရမွာပါ။ blogger platform နဲ႔ custom domain ကေနသြားတဲ့ဆုိဒ္ေတြ (ျမန္မာဘေလာ့ဂါအမ်ားစုဆုိပါေတာ့) မွာ admin က sub-domain တစ္ခုလုပ္လုိက္တယ္ဆုိပါစုိ႔။ ဥပမာ ကြ်န္ေတာ္က www.someone.com ဆုိတဲ့ဆုိဒ္တစ္ခုကုိေရးေနတဲ့သူဆုိပါစုိ႔။ အဲဒါကုိကြ်န္ေတာ္က www.ebooks.someone.com ဆုိတဲ့ sub domain တစ္ခုလုပ္လုိက္မယ္။ ဒါေပမယ့္ အဲဒါကုိ ကြ်န္ေတာ္က အသုံးမျပဳဘဲထားလုိက္မယ္။ ဒါကုိ တစ္ေယာက္ေယာက္က သိသြားျပီး  www.ebooks.someone.com ကုိဟတ္သြားႏုိင္ပါတယ္။ blogger ေတြ custom domain နဲ႔ခ်ိတ္မယ္ဆုိရင္ google dns ျဖစ္တဲ့ ghs.google.com ကေနခ်ိန္ရတာကုိ သိၾကမွာပါ။ ဒီေတာ့ admin ကသာ အဲဒီ sub domain ကုိမသုံးဘူးဆုိရင္ မည္သူမဆုိ အလကားရတဲ့ gmail account မွာ register လုပ္ျပီး deface တင္ႏုိင္သြားပါမယ္။ ဥပမာ ခုနက ကြ်န္ေတာ္က www.ebooks.someone.com ကုိလုပ္ထားတယ္။ အဲဒါကုိ တစ္ေယာက္ေယာက္က

check လုိက္ရင္ ေအာက္ကပုံလုိ 404 error တက္တယ္ဆုိရင္ vul ျဖစ္ျပီလုိ႔ ဆုိရမွာပါ။ ဒါေပမယ့္ အဲလုိ admin ေတြကရွားမယ္ထင္ပါတယ္။ ရွိရင္လည္း တကယ္ကုိအသုံးမက်တဲ့ admin ပါပဲ။ :D

ဒါဆုိရင္ attacker တစ္ေယာက္က www.blogger.com ကုိသြားလုိက္မယ္။ blog တစ္ခုကုိ create လုပ္လုိက္မယ္။ Template မွာ deface code ကုိ ကုိယ္တုိင္အုပ္ထားလုိက္မယ္။ ျပီးရင္ Settings>Publishing>Custom Domain>Advanced Setting အဲဒီကေန ခုနက သူေတြ႕ထားတဲ့ အသုံးမျပဳဘဲထားတဲ့ sub domain ကုိထားလုိက္မယ္။ ဒါဆုိရင္ အဲဒီ sub domain ကုိ deface တင္ထားျပီးသားျဖစ္ပါျပီ။

Ref: HackingSec