divricean.ro

Google Security Issue #3: Light CSRF on Google Analytics

Daniel — Thu, 14 Jul 2011 20:25:34 +0000

Light meaning the damage is minor, but still a CSRF. You could delete all scheduled e-mails, this is how it used to work:

If you go to Google Analytics->My Customization->Email.
The following call is not protected:

https://www.google.com/analytics/reporting/delete_email?emailId=0&id=xxx&pdr=20100926-20101203&cmp=average&trows=10

This works even without the pdr parameter. So you only need to know the id and you can iterate with emailId from 0 to whatever, deleting all the scheduled emails.

Following is a plausible scenario on how you can get the id and execute the CSRF at the same time:

Attacker builds a page that extracts from the Refere the needed id and using the id iterates emailId from 0 to n issuing unprotected delete email calls like the one above.
Attacker makes sure he visits the victims site from his attack page.
Victim opens Analytics->Traffic Sources->Referring Sites.
Victim clicks on the link to the attacker page thus setting the referrer to something like this:
- https://www.google.com/analytics/reporting/referring_source_detail?id=xxx&pdr=20100926-20101203&cmp=average&trows=10&d1=attacker.com
The attacker page deletes all data from Scheduled Emails.

M-au pus in alta sala

Daniel — Fri, 18 Mar 2011 21:10:06 +0000

Mai stiti cum Chrome e foarte rotund fiindca nu a fost hacuit? Posibil sa fie si din cauza ca se pregatesc din timp si arunca cu bani in cei care le raporteaza problemele de securitate.

Cumva am reusit de le-am descoperit si eu niste probleme si fiind foarte de treaba m-au pus si in sala asta de faimi. Deci acum sunt in doua sali, in acelasi timp concomitent si simultan. Pentru cei care nu au timp sa dea click, pun si poza cu sala asta noua (parca e mai mult aer aici ):

De ce 1337 .

P.S.: Sa n-aud comentarii cu “Sergey Glazunov e cel mai tare, restul is de umplutura” sau “Sa hacuiasca numa Sergey Glazunov, ca el stie”.

Google Security Issue #1: Youtube CSRF Attack

Daniel — Sat, 15 Jan 2011 20:14:57 +0000

Some of you may know that Google has started this vulnerability reward program. This is the first post in a series of 5 6 7 8 (so far) about the security issues discovered by me and submitted to Google for this program. The issue is fixed now, so don’t try too hard to reproduce it.

And if you want to see who found security issue in Google sites, have a look here http://www.google.com/corporate/halloffame.html. You might even find me there.

What I found in Youtube is an issue that compromises the Insight section. What could Theevilone do:

Get all Insight information for a user’s video.
Get name of private videos.
Get URL’s of unlisted videos.

This is the actual e-mail sent to Google with the technical details.

It starts with this call:
http://www.youtube.com/insight_titles?first=0&max=500&callback=__jsonp__.I4.onSuccess
that can be included in a page like this:

The data that you get is the video name, video id and video token for all the videos of the user (public or private). Using the video token you can make then subsequent call to get more info about the video like Views, Demographics etc. You just need the video token that you got from the first call.

Pentru cei care n-au auzit de Youtube

Daniel — Sun, 19 Dec 2010 20:46:47 +0000

Alexa zice ca e al treilea site din lume, adica de pe planeta noastra si din sistemul nostru solar. Al treilea. Se lauda cu 1 miliard de vizualizari pe zi. A fost cumparat de Google cu 1.65 miliarde de dolari.

Dar pentru cei care nu au auzit de Youtube pana acum, puteti sa il tineti minte ca fiind site-ul pe care am gasit eu o gaura de securitate. Si pentru asta Google m-a pus in sala faimii. Pentru asta si pentru alte doua probleme de care inca nu pot sa zic nimic, fiindca ar fi un fel de secret.

Legat de asta, daca vrea cineva sa vada o poza cu mine puteti intra aici: http://www.citynews.ro/cluj/it-gadgets-26/clujeanul-care-a-securizat-youtube-pentru-cei-de-la-google-102960/

Convertor de toti banii

Daniel — Thu, 09 Sep 2010 18:52:14 +0000

Update:

Fiscul: – Domnul Copilu, de cati bani ati manelit in seara asta?

Copilu: – De 1000 de iepuroi.

Fiscul: – Domnul Salam, de cati bani ati manelit in seara asta?

Salam: – De 2500 de coco.

Fiscul: – Aveti noroc, daca ati fi manelit pe bani va taxam.

Pentru a sari in ajutorul Fiscului si a scoate tara din criza am creat Convertorul valutar instant ca si accelerator de Internet Explorer 8. Cu ajutorul acestuia oamenii de la Fisc pot sa vada ca 1000 de iepuroi sunt de fapt 1000 de EUR si 4.279,60 de RON. Astfel domnii Copilu si Salam pot sa doarma linistiti ca vor fi taxati, iar tara va iesi din criza.

Adaugare la Internet Explorer

Intrati aici http://ieaddons.com/ro/Details.aspx?Id=10089 cu Internet Explorer 8. De preferat sa selectati Make Default … la instalare, ca sa apara in primul meniu cand dati click pe icoana de acceleratori.

Deocamdata sunt suportate doar cateva valute mai folosite la noi in tara: RON, EUR, USD, CHF, GBP, HUF. Daca simtiti nevoia de alte valute lasati un comentariu.

Mai jos puteti vedea la ce mai poate fi folosit acest add-on:

comparat gangstas, de la noi si de la ei
eficientizat activitatile mafiei locale
comparat preturi la iPhone, Emag vs Amazon.co.uk

Widget top twitter de pus pe bloguri. Si nu numai, dar mai ales.

Daniel — Sun, 20 Jun 2010 06:19:12 +0000

Dupa o idee de-a lui Ciobanu Nicolae si dupa ceva vreme, de azi puteti sa aveti Top 5 hashtag-uri in Romania pe ultimele 24 de ore direct pe blog … pe oricare blog … atata vreme cat e al vostru. Sau in cazul in care nu folositi Agregator.ro, si folositi netvibes, iGoogle, Apple Dashboard, Windows Live, widget-uri pentru Opera, Windows Vista puteti sa il adaugati si acolo.

1. Pentru bloguri intrati aici: http://eco.netvibes.com/widgets/export/blog/382146/top-5-hashtag-uri-in-romania-24h si customizati dupa gust.

2. Pentru restul intrati pe link-urile de mai sus sau chiar si aici: http://eco.netvibes.com/widgets/382146/top-5-hashtag-uri-in-romania-24h.

La orice fel de probleme de instalare dati cu mail-ul, cu comment-ul si cat mai putin cu piatra.

Topul de pe primul loc in topul topurilor de hashtag-uri Twitter din Romania. Si singurul, cred…

Daniel — Sun, 03 Jan 2010 21:37:42 +0000

Trei chestii noi, toate legate de Twitter: e vorba de un serviciu si doua widget-uri care au aparut pe agregator.ro. Sa le luam pe rand.

1. Topul celor mai folosite hashtag-uri pe Twitter de catre utilizatori din Romania

Un fel de “Trending topics” care exista deja pe Twitter. Doar ca localizat pe Romania. Am cautat si nu am gasit un astfel de serviciu, asa ca am inceput sa-l implementez eu. Bineinteles ca dupa ce am terminat am vazut ca si Twitter vrea sa introduca in API-ul sau un serviciu de trends localizat (pff copycats).

Serviciul returneaza primele 10 rezultate in doua feed-uri RSS: unul pe ultimele 24 de ore, celalalt pe ultimele doua ore. Deocamdata feed-urile nu sunt chiar publice, foarte posibil sa le fac publice cat de curand, asa ca singurul loc unde puteti vedea rezultatele e agregator.ro sau ocazional pe contul de Twitter http://twitter.com/agregator.

Ca si implementare. Serviciul e dezvoltat folosind Google AppEngine, asa ca teoretic nu avem probleme de scalabilitate. Practic, AppEngine e in beta . Algoritmul in linii mari e simplu: se iau tweet-urile utilizatorilor din Romania, se extrag hashtag-urile si apoi se numara. Tweet-urile utilizatorilor din Romania se iau cu o cautare bazata pe geocode, din centrul Romaniei pe o raza de 300 de km. Noroc ca e cat de cat rotunda Romania. Nu e 100% corecta cautarea, in sensul ca mai intra pe alocuri si tweet-uri de pe la vecini, dar teoretic nu ar trebui sa intre in top. Plus ca nu toti utilizatorii si-au setat corect locatia. Dar asta nu ar trebui sa afecteze semnificativ topul, sa-i zicem marja de eroare de 3% :p .

Nu vreau sa fiu eu ala care zice cat de interesant e topul asta, dar e foarte interesant (tz tz tz … cata lipsa de modestie…).

2. Widget de top. Top Twitter

Top Twitter e un widget care afiseaza pur si simplu hashtag-urile din serviciul de mai sus. Ah, si la un hover pe hashtag o sa apara un tooltip cu unu din utilizatorii cei mai activi pe hashtag-ul respectiv. Si arata cam asa:

Top Twitter in Romania

Un click pe hashtag va deschide dedesubt un alt widget cu o cautare pe hashtag in Romania. Widget descris mai jos.

3. Widget Cauta pe Twitter

Widget care afiseaza rezultatul unei cautari pe Twitter dupa anumite cuvinte, deocamdata nu suporta cautari dupa geocode (doar “near:Romania” care e pus default la o raza de 300 km). Are refresh automat la 5 minute. Folositor cand se urmareste un anumit hashtag sau tweet-uri spre un anumit utilizator. Arata cam asa:

Cauta pe Twitter

Probleme: Daca la o cautare dupa un hashtag vi se pare ca sunt prea putine rezultate e din cauza Twitter-ului, stergeti # din fata hashtag-ului si cautati asa. Problema apare indiferent ca se face cautarea din widget-ul de pe agregator sau din interfata Twitter web. Adica evident: e de la ei, nu de la noi.

Noi nu mintim poporul cu televizorul. Si totusi…

Daniel — Sun, 06 Dec 2009 16:00:26 +0000

O functionalitate noua a aparut azi pe Agregator.ro. A aparut singura, eu nu am facut nimic.

Daca va uitati atenti la tab-uri o sa observati o iconita mica ce se vrea a fi un televizor, chiar inainte de iconita de inchidere. Cam cum se vede si in poza de mai jos.

Feed-uri in mod TV

Cu un click pe iconita respectiva o sa intrati intr-un alt mod de afisare al feed-urilor din tab-ul curent. Si anume: full screen – hands free. Fiecare titlu (cu descriere daca e cazul) va fi afisat singur pe ecran, cu caractere foarte mari timp de 15 secunde si apoi se va trece automat la urmatorul. Se va lua primul titlu din primul feed, apoi primul titlu din al doilea feed, … al doilea titlu din primul feed, apoi al doilea titlu din al doilea feed, si tot asa. Din acest mod se poate iesi cu tasta ESC sau click pe “x” din dreapta sus.

Modul asta ar putea fi folositor cand nu folositi in mod activ calculatorul dar vreti sa mai dati un ochi la ce se intampla, ca un fel de screen-saver. Sau cand vreti sa cititi stirile din pat sau de la distanta. Deocamdata e doar o versiune simpla, daca exista interes poate fi extinsa cu multe optiuni. Enjoy!

P.S.: Daca tot suntem cu televizorul, am adaugat din nou widget-ul cu program tv. L-am scos o vreme fiindca nu mai mergeau feed-urile, zilele astea am observat ca s-au pornit asa ca there it is.

Noi, utilizatorii de internet!

Daniel — Thu, 01 Oct 2009 17:04:05 +0000

Ca sa lamurim, daca poti citi aici: manifestul despre respect, se cheama ca esti utilizator de internet.

S-ar parea ca o mare parte din noi am fi nemultumiti de felul in care e condusa tara si traim cu impresia ca oamenii pusi acolo sa conduca nu ne reprezinta. Avem deci o problema care trebuie rezolvata. Asa ca propun o solutie, nu o solutie perfecta, nu o solutie noua, o solutie mai buna.

Solutia

Ne organizam intr-o retea sociala, folosim una existenta pentru inceput. Ideea e sa avem un loc unde sa fim cat de cat organizati. Si votam organizat anumite persoane, eventual chiar un Partid Virtual, persoane care ne vor reprezenta in Parlament. Persoanele respective nu au voie sa voteze cum le trece prin cap, orice vot in Parlament va fi trecut inainte printr-un sistem de vot on-line unde membrii retelei vor decide votul. Eu as propune chiar ca reprezentantii nostri sa fie surdo-muti.

Probleme?

Da. Multe. Daca vrei sa vezi probleme, o sa vezi numai probleme. Dar pentru fiecare problema este si o solutie.

Oricum da un comentariu cu ce probleme vezi, si la fiecare problema da si solutia. O sa le adaug mai jos.

Q&A

Incredibil si senzational! Webstock 2009: Am castigat locul 3!

Daniel — Fri, 18 Sep 2009 22:03:40 +0000

Despre premiu

As vrea sa multumesc fanilor, casei de discuri si tuturor celor care m-au sustinut. Dar ce avem aici? Locul 3? I-n-c-r-e-d-i-b-i-l. Nu locul doi ca si anul trecut, ci chiar l-o-c-u-l 3.

Dupa cum probabil nu stiti, fiindca nu am dat inca pe blog, ultimul proiect eliberat in salbaticie este Octet.ro. In postul despre Google, GWT, nori si alte nebunii ziceam ca o sa anunt in curand proiectul care se joaca prin norul Google. Noa, asta e: adica Octet.ro. Nu intru aici in detalii, promit alt post, dar in mare, este vorba despre a putea sa primesti alerte SMS gratis cu vremea in anumite orase din Romania sau/si cu cursul valutar (doar pentru cei care au cont de Google Calendar si au setate notificari prin SMS).

Proiectul e cat se poate de Web 2.0: mash-up intre Google Calendar si alte servicii web, cod scris in Java GWT, hostat pe Appengine. Si deci el, proiectul, impreuna cu mine, am castigat locul 3 la categoria Utility la Webstock 2009. Locul 1 a fost luat de Yahoo Maps for iPhone and iPodtouch de la MB Dragan, locul 2 fiind impartit de Timetonote al lui Lucian Baciu si Gorila de la Sety.

Felicitari tuturor pentru efortul depus, am o vaga idee despre cat de greu a fost.

Pentru cei care nu stiu, Lucian Baciu e fostul meu coleg la lucrarea de diploma din facultate (minunata Universitate Tehnica din Cluj impreuna cu fabuloasa Facultate de Calculatoare). Coleg cu care nu mai vorbisem cam de 5 ani. Ca sa vezi cum Webstock is bringing people together.

Despre Webstock 2009

M-am uitat pe sarite, dar ce am vazut mi-a placut. Un mare progres fata de anul trecut, parca mai faina atmosfera, mai relaxata lumea. Asa ca, felicitari organizatorilor, buna treaba.

Mici gafe: glumele lui Bobby Voicu despre categoria Others, sincronizare muzica – voce, … cam atat am prins eu .

De la mine s-a vazut ca un eveniment impresionant si complex, posibil sa devina, daca nu chiar e EVENIMENTUL anului pentru web-ul romanesc.

Update: lista cu toti castigatorii o gasiti la Stiri.it sau si la Gazutza. Sau chiar de la mama ei, sursa oficiala Catigatori Webstock 2009.