Robando claves por XSS del Administrador de Contraseñas del Firefox

DragonJAR 336x280 Robando claves por XSS del Administrador de Contraseñas del Firefox

Gracias a un mensaje de Tom Brennan, me entero de un problema en el de del , que permite a un atacante mediante (Cross-site scripting) obtener la clave de un usuario almacenada en el navegador.

4436827535 c045e2fae3 Robando claves por XSS del Administrador de Contraseñas del Firefox

El problema se encuentra en que el administrador de contraseñas del Mozilla Firefox , no valida adecuadamente el formulario desde el cual se guarda la clave en el administrador de contraseñas, por lo tanto si a la pagina donde se encuentra el formulario de logueo se le puede realizar un XSS es posible agregar un formulario con un campo oculto del tipo “” y al acceder a ella, firefox no solo llenara el formulario real de acceso automáticamente, sino también el formulario oculto que acabamos de inyectar.

4436827733 71f2f3e6d4 Robando claves por XSS del Administrador de Contraseñas del Firefox

Si le echamos un vistoso al formulario utilizando el plugin Web Developer para el Mozilla Firefox, encontramos que efectivamente el Administrador de Contraseñas, nos llenó el formulario oculto que colocamos en la pagina mediante XSS con nuestra clave de acceso:

4437603194 2c7c33f317 o Robando claves por XSS del Administrador de Contraseñas del Firefox

El código utilizado para la información del Administrador de contraseñas en el Mozilla Firefox:

<script> document.write('<form><input id=p type=password style=visibility:hidden></form>'); setTimeout('alert("Password: " + document.getElementById("p").value)', 100); </script>

Podemos modificar el formulario para que nos envié la contraseña capturada a un archivo en el que puede ser almacenada o enviada por correo electrónico, pero en esta prueba de concepto no lo realizaremos.

En este caso contar con “clave maestra” en el administrador de contraseñas del Mozilla Firefox no supone una “barrera” para que obtengan nuestras claves, ya que una vez ingresada la clave maestra, el Firefox llenara de todas formas el formulario con nuestra clave.

Aunque posiblemente una técnica similar pueda funcionar en otros navegadores, he realizado pruebas en Google Chrome, Safari y Opera siendo el Mozilla Firefox el único afectado.

Actualización:
Un fallo similar fue reportado en el 2006 y supuestamente fue resuelto “VERIFIED FIXED”, pero acabo de probar con la prueba de concepto que publicaron en esa ocasión y sigue siendo vulnerable.

Recomendaciones:

Mas Información:
XSS demo for stealing passwords from the Firefox password manager


Si te ha gustado el post, compartelo y ayudanos a crecer.

Unete a nuestra Fanpage Siguenos en Twitter

Autor: DragoN

Ingeniero en Sistemas y Telecomunicaciones de la Universidad de Manizales. Information Security Researcher con más de 10 años de experiencias en Ethical Hacking, Pen Testing y Análisis Forense. Docente Universitario en Pre y Post-Grado, Speaker y Organizador de diferentes eventos de Seguridad Informática, Fundador del DragonJAR Security Conference y Fundador de DragonJAR SAS y de La Comunidad DragonJAR, una de las comunidades de seguridad informática mas grandes de habla hispana y referente en el sector.

Compartir este Artículo
  • Han

    O.o

  • c1b3rh4ck

    muy buueno graciasss me servira para mis practicas …

  • looc

    Juazzz. Como no recomiendan migrar a IE? Después resulta que Firefox es lo mas seguro…

  • Caralu74

    Bastante interesante el articulo. ¡Que tal el KeePass como administrador de contraseñas!
    http://keepass.info/ a mi me ha resultado bastante útil. Además es software libre.

  • miguelator

    Hola tengo un problema de hace un par de dias con firefox 3.6.8 en windows 7 , tenia tres certificados personales dos de la fnmt y uno de banesto , protegidos por contraseña maestra, y primero me desactiva la contraseña maestra y luego me mueve los certificados personales a personas ó a servidores ó a otros con lo cual decidí eliminar los certificados en espera de solucionarlo por si acaso al final desaparecen ¿podriais ayudarme con esto?
    muchas gracias

  • Roberto

    Hmmm… una duda, ¿cuál sería la diferencia con LastPass que al parecer recomiendas? ¿Sólo un cifrado más fuerte? Gracias.

    • http://www.dragonjar.org DragoN

      la posibilidad de acceder a nuestras contraseñas desde cualquier parte, poder utilizar claves de 1 solo uso, loguearse a los sitios sin ingresas claves (visitando un enlace), entre otras.

      • roberto

        hola quiero recuperar una comtraseña
        quien me enseña

  • jarve

    kiero mi fb melo robaron

  • katy

    PORFAAA ayudenme a recuperar mi facebook =(
    ayer comentaba unas fotos cuando empece a etiquetar algunos amigos y de repent en algunas fotos me aparecia para ke copiara un codigo, las evadia.. pero en un momento copie el codigo y despues, desd entonces no puedo ingresar mas a mi facebook =(

  • valeska olivos

    hola mi nombre es valeska .y cuando quice habrir mi face no me habrio ya q decia que mi contreseña era incorrecta..y yo estoy segura q no era incorrecta. y cuando intente cambiarla me decia que habia exedido en los limites de errores…no puedo ingresar y necesito ayuda e intentado todo y no me resulta nada que debo hacer?………….

  • http://facebook.com Brenda

    Hola mi nombre es brenda :/ ayer mi face estaba jalando muy bien total hoy entro y me dice que ah sido desactivada por que es falso y no es real algo asi se fueron todas mis fotos esta desactivado ayudanme a recuperarlo porfabor:/

  • sam

    COmoA puedo robar la CONTRASEÑA DEL ADMINISTRADOR DEL PORTATIL DE MI NOVIA SIN QUE SE CUENTA GRACIAS.

  • Pingback: Claves del pasado para una web del futuro | Security Art Work