На сайте международной правоохранительной организации "Интерпол" пользователями Интернета была обнаружена уязвимость, позволяющая любому желающему создать в рамках сайта страницу с произвольной фотографией и подписью к ней.
Как описывает в своем интернет-дневнике выпускающий редактор издания MosNews.com Николай Данилов, чтобы воспользоваться уязвимостью, нужно было сформировать адресную строку (URL) вида
http://www.interpol.int/ Viewer/viewphoto.asp? ImageName=[адрес фотографии] &Text=[произвольный текст]. Фотография может быть любая и может находиться в произвольном месте в Интернете. Текст также может быть любой.
При заходе с помощью браузера по сформированному таким способом адресу на подлинной странице сайта Интерпола появлялась указанная пользователем произвольная фотография и введенный им текст. Такую страницу можно было легко принять за реально размещенную на сайте этой организации информацию.
Технология фальсификации такова: к примеру, если взять иллюстрацию в виде JPEG-файла, расположенную по адресу
http://lenta.ru/internet/ 2004/12/10/interpol/illustration.jpg и добавить слова "произвольный текст", то получится адрес вида
http://www.interpol.int/Viewer/viewphot ... ration.jpg &Text=произвольный%20текст. Зайдя по нему, можно было видеть интерфейс сайта Интерпола и включенную в его структуру иллюстрацию с красной надписью "произвольная иллюстрация" (она растянута до 500 пикселей в высоту) и снизу надпись "произвольный текст".
Таким образом можно было, например, фальсифицировать сообщения о том, что кого-либо якобы разыскивает Интерпол - это могло быть использовано в разных целях - например, для розыгрышей.
Предположительно, подобная особенность стала следствием недосмотра (по мнению некоторых экспертов - низкой квалификации) создателей программного обеспечения для сайта. Пользователи Интернета после первых сообщений о "дыре" занимались подделыванием объявлений на сайте в течение почти всего дня в пятницу, однако после 19:00 по московскому времени владельцы сайта скорректировали программу, и она перестала показывать произвольные изображения. Возможность размещать произвольный текст, в то же время, осталась.
Необходимо отметить, что из изложенного нельзя сделать вывод о том, что недавние сообщения об объявлении Интерполом в розыск одного из лидеров украинской оппозиции Юлии Тимошенко являются следствием фальсификации (как сообщалось, информация о розыске Тимошенко сначала появилась, а потом пропала). Сообщения находили подтверждения из авторитетных источников, кроме того, информация о розыске Тимошенко выдавалась в результатах функции поиска, которые нельзя было сфальсифицировать описанным образом.
http://www.lenta.ru/internet/2004/12/10/interpol/
Вход
Регистрация
FAQ
Поиск
