На
официальном сайте Интерпола
любой
желающий мог "объявить в розыск" кого угодно
На сайте
международной правоохранительной организации
"Интерпол" пользователями Интернета была обнаружена уязвимость,
позволяющая любому желающему создать в рамках сайта страницу с произвольной
фотографией и подписью к ней.
Как описывает в
своем интернет-дневнике выпускающий редактор издания
MosNews.com Николай Данилов, чтобы воспользоваться уязвимостью, нужно было
сформировать адресную строку (URL) вида http://www.interpol.int/ Viewer/viewphoto.asp?
ImageName=[адрес фотографии] &Text=[произвольный текст]. Фотография может быть
любая и может находиться в произвольном месте в Интернете. Текст также может
быть любой.
При заходе с
помощью браузера по сформированному таким способом адресу на подлинной
странице сайта Интерпола появлялась указанная пользователем произвольная
фотография и введенный им текст. Такую страницу можно было легко принять за
реально размещенную на сайте этой организации информацию.
Технология
фальсификации такова: к примеру, если взять иллюстрацию в виде JPEG-файла,
расположенную по адресу
http://img.lenta.ru/internet/ 2004/12/10/interpol/illustration.jpg и
добавить слова "произвольный текст", то получится адрес вида
http://www.interpol.int/Viewer/viewphoto.asp?ImageName=
http://img.lenta.ru/internet/2004/12/10/interpol/illustration.jpg
&Text=произвольный%20текст.
Зайдя по нему,
можно было видеть интерфейс сайта Интерпола и включенную в его структуру
иллюстрацию с красной надписью "произвольная иллюстрация" (она растянута до
500 пикселей в высоту) и снизу надпись "произвольный текст".
Таким образом
можно было, например, фальсифицировать сообщения о том, что кого-либо якобы
разыскивает Интерпол - это могло быть использовано в разных целях - например,
для розыгрышей.
Предположительно,
подобная особенность стала следствием недосмотра (по мнению некоторых
экспертов - низкой квалификации) создателей программного обеспечения для сайта.
Пользователи Интернета после первых сообщений о "дыре" занимались
подделыванием объявлений на сайте в течение почти всего дня в пятницу, однако
после 19:00 по московскому времени владельцы сайта скорректировали программу,
и она перестала показывать произвольные изображения. Возможность размещать
произвольный текст, в то же время, осталась.
Необходимо
отметить, что из изложенного нельзя сделать вывод о том, что недавние
сообщения об объявлении Интерполом в розыск одного из лидеров украинской
оппозиции Юлии Тимошенко являются следствием фальсификации (как сообщалось,
информация о розыске Тимошенко сначала появилась, а потом пропала).
Сообщения
находили подтверждения из авторитетных источников, кроме того, информация о
розыске Тимошенко выдавалась в результатах функции поиска, которые нельзя было
сфальсифицировать описанным образом
Источник