StudiVZ - Privacy: reloaded

Zu der von Stefan und mir vor zwei Wochen entdeckten Lücke, die erlaubte, sich in private Gruppen einzuladen, schreibt StudiVZ-Manni im StudiVZ-Blog jetzt folgendes:

...
- Mittels XSS-Angriff wäre es möglich gewesen, Gruppen oder Pinnwände zu manipulieren. Die uns hierzu bekannten Wege haben wir geschlossen.
- Wir haben Lücken geschlossen, mit denen eine SQL-Injection möglich gewesen wäre.

- Es ist jetzt nicht mehr möglich, sich selbst in Gruppen einzuladen.
...

Machen wir doch ein mal die Probe aufs Exempel mit den Gruppen: Wenn ihr das Unternehmen reproduzieren wollt, müsst ihr zum einen Moderator in einer beliebigen Gruppe sein. Das ist defacto aber kein Problem, da jeder eine Gruppe gründen kann. Zum anderen benötigt man Firefox und die Webdeveloper-Extension.

Um sich selbst in eine Gruppe einzuladen, einfach eine Gruppe auswählen, wo man Moderator ist. Dort dann eine beliebige Person einladen, dann aber nicht auf "XXXX einladen" klicken.



Anstelle dessen jetzt unter Firefox bei Extras Webdeveloper anklicken und "Edit HTML" unter Miscelleanous anwählen: Damit kann man dynamisch den HTML-Quelltext einer Website editieren, der Quelltext öffnet sich auf der linken Seite des Browser-Fensters.

Jetzt gilt es nur noch, im entsprechenden Formular die entsprechenden Zeilen anzupassen:


<form action="groupinvite.php" method="post" name="">
<input type="hidden" id="checkcode" name="checkcode" value="5c600369327f8ce35a04c9652f4ec48" />
<input type="hidden" id="ids" name="ids" value="USERID" >
<input type="hidden" id="gids" name="gids" value="GROUPID">
<input type="hidden" id="save" name="save" value="1" >

<div class="formbuttons">
<input type=submit class='inputsubmit' value='XXXX einladen' />
<input type=button class='inputsubmit' value='Nein, doch nicht!' onclick='history.go(-1);return true;' />
</div>
</form>



Dazu müsst ihr einfach bei gids die ID der vermeintlich geheimen Gruppe eintragen, bei ids gehört eure User-ID rein... Das HTML-Fenster nicht schließen, dann auf Absenden klicken - und schwupp die wupp, man sieht die Übersichtsseite über alle Gruppen. Nix passiert? Scheisse, nicht geklappt, denkt man, doch weit gefehlt. Denn auf "Meine Seite" wurde euch soeben von euch selbst eine Einladung für die geheime Gruppe zugestellt.

Nun bin ich aber entgültig sprachlos: Der absichtlich eingebaute checkcode sollte ja normalerweise verhindern, daß ein User die Daten in so einem HTML-Formular abändert. Schlimmer noch: Den StudiVZ-Nutzern wird vorgegaukelt, das System sei sicher. Spätestens jetzt heisst es für StudiVZ-Manni eines: Warm anziehen! Denn der Winter wird lang und kalt!