Gmail'deki bir açık sayesinde, kurban gmail hesabına girdikten sonra ziyaret ettiği bir sayfadan multipart/form-data POST yöntemiyle kurbanın filtre listesine saldırgan tarafından hazırlanan filtre eklenebiliyor. Resimli örnekleri altta yer alıyor:
http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/seq1.jpg
http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/seq2.jpg
http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/seq3.jpg
Filtre, attachments ve forward gibi işlemlerde belirlenen kurallara göre yollanmasını sağlıyor. Bu filtrede belirlenen kurallarla otomatik olarak tüm maillere transfer edilebiliyor. İleride mailler bu yöntemle forward edilecek. Bu teknik Cross-site request forgery kısaca CSRF olarak biliniyor. Exploit "zdnet.com" editörlerinden Ryan Naraine tarafından da doğrulandı. Bu açığın nasıl kullanıldığını bulursanız eğer, Google açığı kapatmadan yayınlamayın.
Her nekadar eski bir haberde olsa şuan o açık devam etmekde =)
http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/seq1.jpg
http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/seq2.jpg
http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/seq3.jpg
Filtre, attachments ve forward gibi işlemlerde belirlenen kurallara göre yollanmasını sağlıyor. Bu filtrede belirlenen kurallarla otomatik olarak tüm maillere transfer edilebiliyor. İleride mailler bu yöntemle forward edilecek. Bu teknik Cross-site request forgery kısaca CSRF olarak biliniyor. Exploit "zdnet.com" editörlerinden Ryan Naraine tarafından da doğrulandı. Bu açığın nasıl kullanıldığını bulursanız eğer, Google açığı kapatmadan yayınlamayın.
Her nekadar eski bir haberde olsa şuan o açık devam etmekde =)