Czytanie cudzych MMSów w Orange – szczegółowa instrukcja

Wczoraj opisaliśmy błąd, występujący w serwisie www Orange, który umożliwiał dowolnemu zarejestrowanemu użytkownikowi oglądanie cudzych wiadomości MMS. Orange po naszym zgłoszeniu błąd już naprawił, więc poniżej publikujemy szczegóły odkrycia.

Co ciekawe, błędy opisane poniżej nie wymagały od użytkownika żadnej wiedzy tajemnej. Nie jest to ani SQLi, ani XSS, lecz prosty błąd logiki aplikacji oraz nieprawidłowa obsługa komunikatów o błędach. Przykłady te pokazują, że standardowe testy penetracyjne nie odnajdą wszystkich problemów. Gratulujemy także Orange szybkiej reakcji – błąd został poprawiony ekspresowo.

Aby przetestować informacje o błędzie otrzymane od naszego Czytelnika, wykorzystaliśmy dwa konta w systemie Orange i jeden telefon spoza sieci.

• Konto0: 668xxxxxx, konto spoza sieci, nadawca MMSa do Konta1
• Konto1: 505xxxxxx, konto zwykłego użytkownika Orange, odbiorcy MMSa
• Konto2: 509xxxxxx, konto atakującego w tym scenariuszu

Najpierw na Konto1 aktywowaliśmy usługę Multi Box (darmową).

Usługa Multi Box

Następnie wyłączyliśmy telefon Konta1, by MMS nie dotarł na telefon. Z Konta0 wysłaliśmy MMSa na Konto1. Po około kwadransie w jego skrzynce MultiBox Konta1 pojawił się nasz MMS od Konta0.

MMS przychodzący – numer w lewym dolnym rogu

Następnie wylogowaliśmy się z Konta1 i zalogowaliśmy się na Konto2. W kolejnym kroku otwarliśmy linka

http://mmsalbum.orange.pl/mmsalbum-web/mms_preview.htm?contentId=124041xxxxx&folderId=xxx

gdzie oprócz komunikatu „Wiadomość MMS nie istnieje. Być może została usunięta.” Zobaczyliśmy także numer nadawcy MMSa, datę i godzinę jego wysłania oraz rozmiar.

Dane nadawcy oraz wiadomości

Następnie wybraliśmy opcję „Prześlij dalej”, która pokazała nam również numer odbiorcy smsa.

Dane odbiorcy wiadomości

To był jednak tylko początek…

Konto2 posiada usługę Multi Box Gold lub Platinium, która umożliwia zapisanie MMSa w formie pliku w wydzielonym folderze na serwerze. Utworzyliśmy zatem folder (zarządzanie folderami -> nowy folder) i otwarliśmy link

http://mmsalbum.orange.pl/mmsalbum-web/mms_preview.htm?contentId=124041xxxxx&folderId=xxx

Co prawda MMS dalej pozostawał niewidoczny, ale wystarczyło wybrać opcję „Przenieś” i wskazać utworzony wcześniej folder. Następnie trzeba było otworzyć folder i… Bingo!

Ukradziony MMS na naszym koncie

Ukradziony MMS właśnie pojawił się w naszym folderze. Mogliśmy go oczywiście otworzyć i obejrzeć.

Zawartość ukradzionego MMSa

Jednocześnie ukradziony MMS zniknął ze skrzynki oryginalnego odbiorcy. Jeśli zatem nie dotarł do Ciebie jakiś MMS w Orange, to wiedz, że coś się dzieje!