http://ftp.mozilla.org/pub/mozilla.org/firefox/nightly/2.0.0.6-candidates/

Nótese que el artículo de Heise fue realizado el 20.07 y la RC1 de Firefox 2.0.0.6 el 23.07. Ya hay una RC2 liberada hoy mismo incluso.

Quien quiera verlo basta con ver que es una demostración que utiliza GET. Para mi opinión personal y subjetiva, es algo tonto. Una demostración 'oficial' por asi decirlo, debería ser mas tajante. Solo un sitio muy falso usaria un sistema así para envio de datos.

Se entiende tu idea, pero eso se puede hacer en cualquier navegador. Simplemente colocas un js externo el servidor, Pero si yo te pido la contraseña en mi sitio y tu la introduces, es en confianza de que yo haré lo que yo quiera con esa dirección. Cuando se trata de sitios malintencionados, a mi opinión se trata de variantes de phishing o que tengan unas condiciones de uso deplorables. En ese caso no es una vulnerabilidad de Firefox. Google podría hacerlo perfectamente, Yahoo, Hotmail, etc, etc. Uno mismo en su instalación de WordPress, Drupal, etc.

"Sobre el demo que hice, es básicamente para corroborar que ese bug puede ser explotado usando XSS sin necesidad de tener un archivo colgado en el sitio afectado, no sé si se entiende o no lo que intento explicar en la entrada."

Eso que hiciste con XSS no es algo de Firefox. Eso se puede hacer en cualquier sitio y cualquier navegador. Desde cualquier navegador puedes tomar los datos de un formulario y enviarlos por ejemplo a un correo, o a un js como mencionas. La gracia sería si desde otro servidor, ajeno completamente a otro, se pueden robar datos. Si es en el mismo servidor, pues es porque es un sitio malintencionado, como un sitio falso de PayPal, por ejemplo.

Si tu archivo js puede recolectar la info de los formularios, puede hacerlo tanto en Firefox como en Opera como en IE. Es algo normal, se usa para envio de formularios, segun entiendo.

Es por lo anterior que yo no considero algo grave que Firefox rellene automáticamente los datos mientras se encuentre dentro del mismo dominio y que estos datos puedan ser obtenidos, repito, dentro del mismo servidor.

Saludos y gracias por la respuesta.

Lamento que hayas realizado un artículo en el que me llegas a subestimar de una manera increible. hubiese sido mas constructivo si me hubieras contactado o comentado el artículo aportando un ejemplo que realmente demostrara que se puede robar las contraseñas desde otro dominio y no poniendo ambas páginas en el mismo. Lo hubiese posteado y reafirmado el tema. Pero hasta ahora no he visto prueba de que ello sea posible y mientras no las haya no se puede decir que sea posible.

En la entrada no lo dije, pero como has visto, el texto y ejemplos que puse era demasiado como para poner todo eso en un comentario.

Jamás dije que se utilizara la url ni intento explicar la tontísima demostración de Heise. he dicho que basta con fijarse en la URL para ver los datos de usuario y contraseña. Porque no hicieron una demostraciíon en la cual no haya quedado dudas de que eso era posible? Ellos mismos afirmaron que solo es posible dentro del mismo dominio. No fui yo.

No sé si sólo es mi impresión o no, pero en mi opinión, si estás explicando como funciona la -- "tontísima" -- prueba de concepto, dices que sólo basta fijarse la url, pero no dices que pasa eso porque el método que usa el formulario de prueba es GET.

Sobre porque no hicieron una prueba de concepto mejor, no tengo idea, pregúntales a ellos.

Me parece incorrecto que llegues a decir que soy un ignorante de XSS o que no tengo idea de esto o aquello. Creo que entendiste tu mal mi punto. Esa demostración no usa XSS. Veo que intentaste hacer algo con XSS, pero tu demostración no me convence de que desde OTRO dominio se pueda robar los datos.

Has entendido mal o has querido entender mal mi punto de vista. Que yo no haya mencionado al script php que se llama en el script, no significa que no lo haya visto y analizado junto a jmiur y myself de bolsanegra, con quien más de una vez nos hemos divertido realizando ataques XSS ¨¨ En su lugar, prefiero apelar al sentido comun y decirle a los lectores que la demostración de heise no es para tomar en serio.

Quiero que me muestren una demo de un formulario en un dominio y una página de robo de contraseñas en otro dominio diferente y que funcione la demostración. si es así, le daré todos los creditos a quien lo haya realizado y lo postearé como es debido y como más de una vez he dado a comentar algunas de las vulnerabilidades de Firefox.

En el polémico párrafo suponía (uso la palabra "aparentemente") que no conocías sobre XSS, igual no tenía como comprobar lo contrario. En todo caso, te pido disculpas por hacer esa suposición (en un momento hago los cambios en la entrada).

Sobre el demo que hice, es básicamente para corroborar que ese bug puede ser explotado usando XSS sin necesidad de tener un archivo colgado en el sitio afectado, no sé si se entiende o no lo que intento explicar en la entrada.

Por otro lado, tampoco tengo intención de hacerte cambiar de opinión sobre si ese bug es peligroso o no, cada uno puede sacar sus propias conclusiones.

Reitero, lamento que te hayas referido de esa forma a mi artículo y a mi persona.
[...]

Reitero mis disculpas por decir que no conocías XSS y por llamarte 'redactor' -- no encontré tu nombre en zonafirefox.net.

http://zonafirefox.net/fx.html

Al estar en otro servidor, en mi Windows XP SP2 y Firefox 2.0.0.5 no sucede absolutamente nada. Espero que definitivamente se entienda a lo que me estoy refiriendo.

Saludos del 'redactor'

Jamás dije que se utilizara la url ni intento explicar la tontísima demostración de Heise. he dicho que basta con fijarse en la URL para ver los datos de usuario y contraseña. Porque no hicieron una demostraciíon en la cual no haya quedado dudas de que eso era posible? Ellos mismos afirmaron que solo es posible dentro del mismo dominio. No fui yo.

Me parece incorrecto que llegues a decir que soy un ignorante de XSS o que no tengo idea de esto o aquello. Creo que entendiste tu mal mi punto. Esa demostración no usa XSS. Veo que intentaste hacer algo con XSS, pero tu demostración no me convence de que desde OTRO dominio se pueda robar los datos.

Lo de la solución temporal la comenté hace meses y casi nadie me dió atención, pero se empeñan en verle la parte dramática al asunto. Repito, Heise mismo indica que solo es posible en el mismo dominio.

Has entendido mal o has querido entender mal mi punto de vista. Que yo no haya mencionado al script php que se llama en el script, no significa que no lo haya visto y analizado junto a jmiur y myself de bolsanegra, con quien más de una vez nos hemos divertido realizando ataques XSS ¨¨ En su lugar, prefiero apelar al sentido comun y decirle a los lectores que la demostración de heise no es para tomar en serio.

Quiero que me muestren una demo de un formulario en un dominio y una página de robo de contraseñas en otro dominio diferente y que funcione la demostración. si es así, le daré todos los creditos a quien lo haya realizado y lo postearé como es debido y como más de una vez he dado a comentar algunas de las vulnerabilidades de Firefox.

Reitero, lamento que te hayas referido de esa forma a mi artículo y a mi persona. No haré lo mismo y no te responderé ya que para mi las formas de proceder son otras y prefiero ser constructivo en lugar de andar intentando desbancar a redactores que no he tenido el placer de conocer y que por lo tanto no puedo decir que ignoran tal o cual tema. A mi en esos sitios que menciono no me responden los comentarios, pero yo en cambio respondo y aprecio que lo hagan en el sitio, más aun si es algo que puede aportar algo .

Saludos

Demuestra que se puede robar desde otro dominio si quieres ser convincente.