Nicola Moretti - Hanicker IT Blog » Hacks

Myspace old XSS virus

Nick — Thu, 12 Aug 2010 22:48:37 +0000

A volte anche un vecchio worm js può risultare utile a livello didattico, anche per capire come sia difficile limitare i danni di eventuali falle XSS.

La sfida è semplice, ecco il codice:

Il codice permetteva di guadagnare velocemente amici su MySpace, tanto da meritarsi una pagina su wikipedia.

Se avete problemi nell’analisi, ecco il link di riferimento per l’analisi. Qui, invece, è disponibile la storia di questo bug.

last.fm – Scaricare gli stream

Nick — Sun, 23 May 2010 13:56:47 +0000

Per il download degli stream di last.fm esistono moltissime soluzioni.

Per Ubuntu, ad esempio, è molto usato il pacchetto thelastripper, scaricabile direttamente dai repository ufficiali.

Ultimamente però quasi tutte le soluzioni sembrano aver smesso di funzionare, e gli autori di questi software tardano ad aggiornare i propri programmi.

Un’ottima soluzione, per chi sa fare a meno di interfacce grafiche, è uno script scritto in Python da Phillip Berndt e disponibile per il download al sito ufficiale o tramite questo mirror.

Qui potete vedere il codice sorgente online.

Il funzionamento è estremamente semplice.

Ad esempio vi basterà scrivere

python lastfm-rip.py -u USERNAME -p “PASSWORD” -d “CARTELLADESTINAZIONE” -k lastfm://user/USERNAME/recommended/

per scaricare lo stream delle musiche consigliate.

Esistono anche altre utili opzioni:

Usage: lastfm-rip.py [options]

Options:
-h, –help show this help message and exit
-u USERNAME, –username=USERNAME
Last.FM username
-p PASSWORD, –password=PASSWORD
Last.FM password
-a ARTIST, –artist=ARTIST
Play similar artists
-d DIRECTORY, –directory=DIRECTORY
Store files to this directory
-f FILTER, –filter=FILTER
Apply argument as a regex to filter songs (artist -
title)
-r, –enqueue-rythmbox
Enqueue downloaded songs in Rythmbox (Requires dbus
and pygtk)
-n NUMBER, –fetch-n-songs=NUMBER
Try to fetch exactly n songs, then exit
-k, –keep-list Keep a persistent list of downloaded songs so this
will never download the same song twice

Per quanto riguarda l’url da cui ricevere lo stream, ecco un prospetto (tratto da questa pagina) di quelli supportati da last.fm:

lastfm://user/$user/personal
lastfm://user/$user/playlist
lastfm://user/$user/loved
lastfm://user/$username/neighbours
lastfm://user/$username/recommended/100

lastfm://usertags/$user/$tag
lastfm://globaltags/$tag

lastfm://artist/$artist
lastfm://artist/$artist/similarartists
lastfm://artist/$artist/fans

lastfm://group/$groupname

lastfm://play/tracks/$trackid,$trackid,$trackid

Non posso essere ritenuto responsabile per qualsiasi uso scorretto o illegale delle informazioni contenute in questa pagina.

Impostazioni Privacy Facebook

Nick — Tue, 18 May 2010 01:01:38 +0000

Una volta registrati a Facebook la privacy dei nostri dati è messa a dura prova. Il rischio maggiore è sicuramente il temuto upgrade di sistema che, di tanto in tanto, viene attuato dai tecnici dell’azienda di Palo Alto. Molto spesso questo vuol dire che le impostazioni relative alla privacy che abbiamo configurato poco tempo fa non sono piu valide ed è tutto da risistemare il prima possibile.

Uno strumento appena nato ma molto efficace per controllare velocemente se le impostazioni del nostro profilo sono “buone” è ReclaimPrivacy.

Il funzionamento è molto semplice:

una volta visitato il sito http://www.reclaimprivacy.org/ è sufficiente aggiungere ai nostri segnalibri il link indicato dalla scritta Scan for Privacy.

A questo punto ci basterà accedere alla home page di facebook e quindi premere sul link per ricevere un report globale ed eventualmente alcuni suggerimenti efficaci su come migliorare determinate impostazioni.

Avendo a disposizione anche il codice sorgente di questo script possiamo verificarne facilmente la sua affidabilità: i dati che andrà a verificare non verranno comunicati a nessuno.

Google Wifi DB

Nick — Sun, 31 Jan 2010 15:31:38 +0000

Try compiling this form with a wifi MAC Address and press Enter (iframe):

The source code is:

#!/usr/bin/python
# Copyright (C) 2010 Kees Cook 
# License: GPLv3
# Find location of a MAC address via Google Location Services
# http://code.google.com/p/gears/wiki/GeolocationAPI
import cgi
import sys, urllib2
import simplejson
import pprint

form = cgi.FieldStorage()
if not form:
    print "Content-type: text/html"
    print ""
    print ""
    print "Enter MAC address to locate:



"
    print 'source'
    print ""
    sys.exit(0)

#try:
if True:
    loc_req = { 'version': '1.1.0',
                'request_address': True,
                'address_language': 'en',
                'wifi_towers': [] }
    bssid = form['mac'].value
    loc_req['wifi_towers'] += [{ 'mac_address': bssid.replace(':','-'),
                                 'signal_strength': 1 } ]

    data = simplejson.JSONEncoder().encode(loc_req)

    output = urllib2.urlopen('https://www.google.com/loc/json', data).read()
    output = simplejson.loads(output)

    print "Content-type: text/plain"
    print ""
    pprint.pprint(output)
    if output['location']['accuracy'] >= 22000:
        print "# N.B. Accuracy of 22000 or higher seems to indicate unknown location..."
else:
    print "Content-type: text/html"
    print ""
    print ""
    print "Sorry, something went wrong"
    print ""

Think at the possibility for somebody to bruteforce Google DB and retrieve these infos.

Starting from http://standards.ieee.org/regauth/oui/oui.txt, for example, i can try 16^6 mac addresses starting from 00-18-84 to get info about FON hotspots and achieve locations in a day or less.

I think this is not illegal as this is what my GPhone actually does. PS: I have not checked against any bruteforce prevention.

Thanks to Kees Cook.

Hack foto pubbliche nei profili Facebook

Nick — Sat, 23 Jan 2010 21:01:00 +0000

Ricopio questo interessantissimo codice che, inserito nel browser al posto della barra di indirizzo o salvato come segnalibro, ci permette di vedere le foto pubbliche dei profili di facebook.

javascript:(function(){function%20y(){if(x.readyState==4){q=x.responseText.substring(9);p=eval('('+q+')');document.getElementById('tab_canvas').innerHTML=p.payload.tab_content;}}x=window.XMLHttpRequest?new%20window.XMLHttpRequest:(window.ActiveXObject?new%20ActiveXObject("MSXML2.XMLHTTP"):null);x.onreadystatechange=y;x.open('POST','http://www.facebook.com/ajax/profile/tab.php',true);x.send('id='+ProfileURIController._profileId+'&v=photos&__a=1');})()

Come fare? Semplice:

salviamo questo link – Cerca Foto Facebook – nei nostri segnalibri;
visitiamo il profilo pubblico di una persona (ci troveremo alla pagina info);
clicchiamo sul link e al posto del profilo ci appariranno album e foto pubblic he.

Tratto da: theharmonyguy.com