Bug no Orkut: deslogar amigos pelo scrapbook
Este texto foi classificado como Muito bomBug no Orkut que permite deslogar seus amigos através de scrap, tornando impossível para eles receber ou a apagar o scrap com o bug.
Existem pessoas que perdem o amigo mas não perdem a piada e eu sou uma dessas.
Se tu compartilha desse bom humor, aqui vai um bugzinho chato do Orkut que eu vi no Sykey.
Com a infeliz possibilidade de enviar código html nos scraps dos amigos (agora as bombas explodem e as flores tocam músicas, NÃO NÃO!) você pode implantar nos scraps alheios (ou nos seus) um código que chama a página de logout.
E aí o que acontece? Aparentemente nada, a pessoa apenas entra e um scrap seu com um espaço vazio, mas a sessão do orkut já foi desfeita. Ela não conseguirá apagar o scrap e o que é mais malvado ainda: ninguém conseguirá deixar scrap para ela.
Curioso? Aí está o código:
< embed src="http://www.orkut.com/GLogin.aspx?cmd=logout" >< /embed >
Mais uma vulnerabilidade que neste caso foi usado de forma "inocente" mas pode causar muito estrago se for melhor explorada por alguma mente maligna da internet.
Update
O Julio Lobo comentou como apagar o scrap caso você seja vítima ou ficou com pena do seu amigo que já está pensando em criar uma nova conta no Orkut:
1. Você deve entrar na página de recados onde está o scrap malicioso
2. Em outra janela ou aba do navegador você se loga novamente
3. Retorne para aquela primeira Aba ou Janela e clica em "apagar"
Valeu Julio!
Se você quer aprender mais vulnerabilidades de sistemas - e como se proteger - recomendo a leitura destes livros sobre o assunto.
Infectados pelo Vírus do Orkut - Finalmente aconteceu
Novo iGoogle - ainda em testes
Entrevista com Rodrigo Lacerda (responsável pelo Vírus do Orkut)
Do ASP ao PHP, vim para o lado negro da força!
[www] 28/10/2007 23:15:00
[Responder este comentário]
28/10/2007 23:41:00
NÃO tem graça ¬¬'
tá, não sendo comigo e nem com ngm que eu queira mandar scrap *-)
* maldade *
espero MSM que nenhuma mente perversa tente se utilizar disso.
[Responder este comentário]
[www] 28/10/2007 23:53:00
Mas tem como apagar sim.
Você (que enviou) ou a pessoa que recebeu podem apagar.
Você deve entrar na página de recados, onde você derá deslogado, e não deve fechar essa janela ou aba.
Em outra janela ou aba do navegador você se loga novamente, e então retorna para aquela primeira Aba ou Janela e clica em "apagar".
Testei e funciona.
Se você for pego(a) nessa já sabe como sair.
Grande abraço.
[Responder este comentário]
[www]
28/10/2007 23:57:00
Valeu Julio!
Eu consegui apagar o scrap que havia enviado um tempo depois, não consegui descobrir qual foi a lógica, mas depois de algumas tentativas consegui apagar. O usuário que recebeu não conseguiu da forma "normal", mas tua dica é mais inteligente, recria a sessão ativando novamente as funções de quando está logado :D
Vou dar um update no post ;)
[Responder este comentário]
[www] 29/10/2007 00:35:00
Estou assinando o Feed.
Grande abraço amigo.
[Responder este comentário]
29/10/2007 04:33:00
Interessante. não sou um expert em segurança mas, sem dúvida é uma brecha potencialmente perigosa.
Acredito que com a mesma linha de código que pelo que a gente pode ver executa uma url "automaticamente" também se pode executar alguma pagina remota com um script malicioso como um simples overflow de memoria ou coisas do tipo.
Alguem já pensou em alguma solução? Levando em conta que a tag "embed" é usada para os gadgets web que o pessoal usa para inserir players de musica em flash como o exemplo do mp3tube. o cancelamento do uso disto poderia tirar muitos destes brinquedinhos da jogada e deixar muitos usuários aborrecidos pelo regresso.
[Responder este comentário]
[www] 29/10/2007 05:44:00
[Responder este comentário]
[www] 29/10/2007 05:54:00
Tem mais duas formas de apagar o scrap:
1- AdBlock
2- Desabilitar Flash Player
Ainda bem que 99% dos users do Orkut não conhecem isso. ;D
[Responder este comentário]
[www] 29/10/2007 05:57:00
Ah, olhando o comentário do Rogério, lembrei que eu fiz um tutorial ensinando a esconder arquivos em imagens:
http://www.sykey.net/2007/02/03/tutorial-escondendo-arquivos-em-imagens/
[]'s
[Responder este comentário]
[www] 29/10/2007 09:43:00
[Responder este comentário]
[www] 29/10/2007 11:05:00
Interessante isso aí.
É impressionante que, pode passar o tempo, você começa a achar que acabaram-se os bugs no orkut, e por fim, acham algo novo. A equipe do google realmente deveria pensar seriamente nesse tipo de problema antes de lançar novidades como o html nos scraps
[Responder este comentário]
29/10/2007 14:22:00
[Responder este comentário]
[www] 30/10/2007 13:43:00
não funciona mais esse bug, o orkut tirou.
rsrs.
que chaato, quando descobrirem outro assim me avisa pra mim fica previnido
abraçooos, mto legal esse site ^^
[Responder este comentário]
[www] 31/10/2007 01:12:00
Quem foi que disse que não está mais funcionando??
Acessem a página de recados dos meus Primos:
http://www.orkut.com/Scrapbook.aspx?uid=16920935882457889150
http://www.orkut.com/Scrapbook.aspx?uid=17582824217369839751
Depois digam qual foi o Resultado.
[Responder este comentário]
[www] 1/11/2007 23:07:00
[Responder este comentário]
3/11/2007 17:27:00
POW AINDA TA FUNFANDO SIM!
MUITO MASSA ISSO!
AKSPLAPKSLPSLAPKSLPAKSLKAS
SACANEANDO MEUS AMIGOS =D ahuahuahauhauahuah
[Responder este comentário]
4/11/2007 18:52:00
eu fui testar faznedo isso com uma amiga 1
mas não estou conseguindo apagar nem com essas dicas ai de cima !
me ajuuda !
[Responder este comentário]
6/11/2007 10:34:00
Oi Nádia, desculpa a demora na resposta, a técnica para apagar o scrap funciona sim...
1. Abra duas abas no navegador
2. Na primeira aba, entre no Orkut e vá para a página do Scrap malvado
3. Na segunda aba, entre no Orkut (faça login)
4. Volte para a primeira aba que ainda deve estar na página do Scrap
5. Clique no Apagar
Tenta denovo, tem que funcionar! ;)
[Responder este comentário]
9/11/2007 19:37:00
Existe outra maneira de apagar este recado indesejável.
Existe um plugin para o Mozilla Firefox chamado Flashblock, basta procurar no google.
O código <embed src="http://www.orkut.com/GLogin.aspx?cmd=logout"> envia um flash para a vítima, o Flashblock bloqueia a abertura de TODOS os arquivos de flash, aparecendo um 'Play' no lugar. Ao clicar no play o flash se executa normalmente.
Basta baixar o plugin, entrar na sua página de recados e apagar o recado.
Espero ter ajudado :)
[Responder este comentário]
9/11/2007 20:34:00
Valeu Felipe!
O Flashblock é uma boa opção de segurança - e paraevitar desperdício de banda para os mais impacientes. hehe
[Responder este comentário]
10/11/2007 14:07:00
[Responder este comentário]
11/11/2007 19:12:00
Alinne, o flashblock é para Firefox mas existem versões para outros browsers.
O link para baixar outras versões é http://flashblock.mozdev.org/installation2.html
[Responder este comentário]
13/11/2007 00:50:00
Muito obrigada, Guilherme!!!!!
mas eu acabei instalando o firefox! consegui me livrar do scrap!!!
valeu mesmo!
bjao
[Responder este comentário]
13/11/2007 01:11:00
De nada :D
Viu como há males que vem para o bem?
Mais uma usuária feliz com o Firefox!
Testa o Firefox por mais um tempo, você vai ver que ele é muito mais estável e segundo testes feito por meu amigo Pablo, mais veloz que o Internet Explorer! ;)
Que bom que conseguiu se livrar do scrap maligno, hehe :P
(não sou remunerado pela fundação mozilla para fazer isso)
[Responder este comentário]
6/12/2007 21:00:00
Há males que vem para o bem!
Mais uma usuária feliz com o Firefox! ²
[Responder este comentário]
[www] 7/12/2007 19:27:00
[Responder este comentário]
8/12/2007 18:00:00
Valter, o orkut não permite mais a exploração deste bug, agora quando você posta este embed ele é interpretado como texto e não mais como script.
Para sacanear os amigos você tem que esperar por um novo bug do Orkut agor... hehe
[Responder este comentário]
12/12/2007 13:50:00
Gostei e valeu pela diga!
Então dê uma dica pra me, quero ver as fotos e enviar recado para os membro do orkut não estao adicionado como amigo ou qualquer coisa assim, so que orkut bloqueia isso como faço pra enviar.
Valeu e um abraço.
[Responder este comentário]
14/12/2007 01:12:00
Oi ! .. tou com este bug mais naum tenho nenhum tipo de scrap ! e naum entendi ainda como tirar ... mas estou levando. um amigo meu esta com o mesmo problema de muitos naum consegue faazer nada sem o orkut deslogar, gostaria de mais uma ajuda se puderem porfavor !
Obrigado, abraço.
[Responder este comentário]
14/12/2007 01:33:00
Digamos .. e so mandar o link e se o scrap fiko so com um espaço ( parecendo que ta só com um espaço ) jah está bugada a pessoa ?
poderiam detalhar melhor como desbugar ?
valeu abraço.
[Responder este comentário]
15/12/2007 00:03:00
Aee Galera .. muito obrigado !
Li com atenção e conseguir exclui o scrap malicioso .. gostaria de ver mais coisas sobre esses bugs de orkuts se puderem estar me mandando um e-mail eu agradeso !
Valeu Obrigado
[Responder este comentário]
[www] 18/12/2007 00:21:00
Valeu pela ajuda!
um amigo meu meu me enviou o tal recado do mal e não sabia como apaga-lo.
Teu post foi muito util, valeu!
[Responder este comentário]
18/12/2007 02:16:00
Marcos ssa sei que estou atrasado mas logo sai a dica de como ver scraps e fotos bloqueado com a nova ferramenta do Orkut, desculpa pelo atraso. Para enviar scrap sem ser amigo não sei se é possível, mas ler é sim.
Rone, é isso mesmo. O scrap deixa um espaço vazio (que é onde o código está escondido no Embed) e aquela página já está bugada, quem entrar desloga.
Philipe que bom que conseguiu! Fica o que falei pro Marcos, estou escrevendo a dica de como bisbilhotar as pessoas que usam a ferramenta de privacidade no Orkut.
Ceza já agradeci lá no snibits e aqui vai denovo, valeu pelo link e que bom que ajudou! :)
[Responder este comentário]
18/12/2007 23:58:00
po
nao consigo tira esse madito bug do meu orkut
minha paginas de recados num da nem pra clik dps q abre
pq aperece akilo q to deslogada
e num da pra clik fora!
como q eu faço pra tira isso?
[Responder este comentário]
19/12/2007 00:50:00
ñ to conseguindo
ja baixei o plug-in
e para nauqle parte
som q nao da proa apaga os scrpas
e dpois muda de pagina
aparecendo
The page you're accessing no longer exists or you mistyped the URL.
[Responder este comentário]
19/12/2007 01:15:00
Pessoal...
O que deu no meu orkut é Javascript..
Não dá pra apagar por esse esquema que vocês disseram, porque aparece uma mensagem e quando dá OK vai automaticamenta pra página do Orkut inicial...
E quando eu desabilito a opção do firefox "permitir javascript", eu consigo ver minha página normalmente... porém, não consigo apagar o scrap, pq pra apagar precisa estar com o Javascript habilitado..
Alguém pode me ajudar?
[Responder este comentário]
19/12/2007 01:31:00
To com o mesmo problema do Diogo, MERDA
Ajudaaaaaa :(
[Responder este comentário]
19/12/2007 01:50:00
bem gente... eu tentei fazer de tudo mais num dei certo...
ai me ocorreu a ideia... deixar um scrap para alguem... e pedir para ele ta mandar o maior numero de scraps possiveis... assim o scrap maligno fica em outra pagina... dando para você acessar a sua ^_^
espero ter ajudado
[Responder este comentário]
19/12/2007 02:00:00
guilherme parceiro, taá dificiL vey ..
o e=meu orkut toda vez qe entro na pagina de scraps, nem abre os scraps, só aparece dois e ao mesmo tempo jaá aparece um quadro dizendo VC FOI DESLOGADO ¬¬'
ajuda aê vey, blziinhaáh ..
DEUS te abençoe (y)'
[Responder este comentário]
19/12/2007 02:16:00
Pessoa, o Orkut sofreu um ataque através desse mesmo bug. O esperado aconteceu, to escrevendo como se livrar disso...
muita calma nessa hora, até agora não achei nada muito malicioso no script. Mas todo mundo vai parar na comunidade "Vírus do Orkut"... haha
[Responder este comentário]
19/12/2007 03:04:00
Infectados pelo Vírus do Orkut - Finalmente aconteceu
É isso que está acontecendo, relaxem e aproveitem um dia sem Orkut gente.
[Responder este comentário]
30/12/2007 16:05:00
Ia testar com minha irmã, mas uso o orkut_fixes, ai nem rola. ;~
Ele detecta. =}
[Responder este comentário]
31/12/2007 01:31:00
[Responder este comentário]
31/12/2007 11:19:00
Corrigiram ??? Ah...logo agora que eu ia me divertir...
Não tem nenhuma outra parecida ????
[Responder este comentário]
31/12/2007 16:11:00
[Responder este comentário]
1/1/2008 11:56:00
[Responder este comentário]
6/1/2008 12:18:00
Oi gente....
O meu Orkut foi invadido por um virus diferente eu acho , mas ele tb desloga e na deixa apagar os recados...
Eu queria uma ajudinha, pq tentei de todas as formas tirar e nao deu....
Entrem pra ver:
http://www.orkut.com/Scrapbook.aspx?uid=3055499231697716080
[Responder este comentário]
[www] 16/1/2008 15:51:00
Pow quero ajuda pq naum consigo fazer isso q ta inscrito lá em cima pow quem pode me explicar direito !!
[Responder este comentário]
16/1/2008 16:17:00
Bruno, é só copiar o código e colar no scrap. Testei agora e continua funcionando este bug...
Ah, e se aparecer o código no scrap para resolver é só tirar o espaço que tem depois do <
então vai ficar: "<embed ..." e o resto exatamente como está no texto aí em cima.
[Responder este comentário]
22/1/2008 12:34:00
UM jeito muto masis facil!!
acessem!!
entrem na sua conta e apaguem o virus...
naum eh virus o site eu fiz isso e deu certo...
[Responder este comentário]
[www] 27/1/2008 12:18:00
pow isso tá mto foda!
Vlw..
[Responder este comentário]
27/1/2008 21:22:00
[Responder este comentário]
1/2/2008 22:43:00
eu puguei o orkut da minha tia com esse codigo
agora ela ta puta da vida cmg
eu tentei faze o negocio com as abas
mais num ta aparecendo o scrap
eu tentei baixa esse negocio do flashblock
mais as vezes ele num desloga e otras ele desloga sera q pode me ajuda?
aki ta o link:
http://www.orkut.com/Profile.aspx?uid=2604832049273480094
[Responder este comentário]
6/2/2008 13:04:00
=)
[Responder este comentário]
6/2/2008 13:35:00
Você pode serguir os passos do post:
1. Você deve entrar na página de recados onde está o scrap malicioso
2. Em outra janela ou aba do navegador você se loga novamente
3. Retorne para aquela primeira Aba ou Janela e clica em "apagar"
[Responder este comentário]
[www] 7/2/2008 14:11:00
Estava vendo que esse problema dos Scraps que não apagam foi um falha encontrada na proteção do orkut com arquivos flash. Existe várias mensagens circulando com um arquivo flash transparente, que joga uma código na página, fazendo com que tudo que for clicado, mande para o endereço de logout.. NÃO É UM VÍRUS.. ACHO QUE QUEM FEZ ISSO FEZ PARA ALERTAR O ORKUT MSM. De qualquer maneira, para você conseguir apagar as mensagens, instale isso aqui: http://flashblock.mozdev.org/ . Isso vai bloquear o flash da página, que por sua vez não vai alterar o código. Daí você poderá apagar esse recado e utilizar novamente o orkut normalmente. Espero que tenha ajudado.
Abraço
Alexandre M Silva - Campos do Jordão
[Responder este comentário]
8/2/2008 09:41:00
Você está certo sim, este scrap não é um vírus.
O código <embed> é para chamar um arquivo em flash, mas no caso ele chama a página de logout.
O Flashblock não permite executar nenhum flash sem autorização - impedindo o logout. Outra maneira de apagar o scrap (para quem não usa o firefox, por exemplo) foi explicada pelo Julio e adicionada ao post.
;)
[Responder este comentário]
29/2/2008 10:30:00
o modo de tirar é o mesmo de sempre
lá vai ele
<embed src="http://www.orkut.com/GLogin.aspx?cmd=logout"></embed>
tá ai façam um bom proveito -_+
[Responder este comentário]
4/3/2008 23:55:00
tem um individuo que esta excluindo o meu, e quero dar o troco.
se puder me ajudar...
abraço
[Responder este comentário]
8/3/2008 18:29:00
Embed`s e link não amigaveis...
Isso não tinha antes porem ja havia coisas mais lokas como usar ID de usuarios
e usurpar SCRAPs fingindo que foram eles que enviaram(esse é bem provavel que seja virus mesmo)
abraço falow
[Responder este comentário]
9/3/2008 04:40:00
fui colocar uma musik no meu scrap pelo mp3tube!!!
e num li o codigo agora no meu scrap tem um link q se vc clicar para baixar
vc abaixa um trojan
e num da para eu deletar o recado e nem mandar outro recado para min
o pior é q num desloga do meu orkut
simplesmente num faz nada!!!
eu cliko milhões de vezes e num acontece nada
me ajudem!!! quando eu passo o mouse encima do link "apagar" aparece aki em baixo onde normalmente carrega as paginas aparece javascript: void(0);
[Responder este comentário]
9/3/2008 05:48:00
fikei até agora 5:45 da manha só pra tentar tirar akela bosta no meu kut
e eu procurava em todo o lugar para conseguiri tirar e num dava certo de todos os jeitos
até q eu tentei denovo um jeito la e fiz uma cagada la sem esperaça
e do nada apareceu para eu apagar o recado
aewww
[Responder este comentário]
10/3/2008 01:12:00
Quando acontece alguma coisa muito estranha - e tem vírus no meio - uma solução é entrar em contato direto com o Google através de e-mail. Nunca fiz isso, mas já li relatos de que a resposta vem.
[Responder este comentário]
[www] 10/3/2008 04:41:00
http://www.orkut.com/Community.aspx?cmm=16710540
No aguardo e grato!
[Responder este comentário]
[www] 1/4/2008 17:09:00
n consigo faser nada no orkut pois so dah erro de pagina e aparece javascript
[Responder este comentário]
[www] 2/4/2008 14:12:00
[Responder este comentário]
[www] 2/4/2008 21:19:00
me ajuda aew por favor!
[Responder este comentário]
[www] 16/4/2008 17:57:00
mais ainda nao corrigiu o de desligar o pc dos outros pelo scrapbook
eah so vc manda isso:
<img src="um link de imagemdo google" width="999999" height="999999">
por que ela desliga??
veja
<img src ....................indika que estou colocando uma imagem (html)
"link da imagem" ..............link de qualqer imagem (.jpg, .png,etc)
width="999999" ............................comprimento 999999
height="999999"..................largura 999999
,
por que desliga??
a placa de vidio da pessoa nao suportara a imagem, pois ela será grande demais para o pc conseguir abrir ai vai travar tudo e ira aparecer uma mensagem que o pc precisa ser reiniciado toda vez que ela entra no orkut...uma vez postado este html na pag do troxa...nuk sai!! kkkkkkkkkkkkkk
creditos
ADM H`s
[Responder este comentário]
16/4/2008 18:19:00
fala sério.
[Responder este comentário]
16/4/2008 18:22:00
[Responder este comentário]
30/4/2008 14:26:00
por me de uma ajuda....
Vlw
[Responder este comentário]
1/5/2008 19:09:00
[Responder este comentário]
[www] 29/5/2008 21:51:00
se vc me aD² vc vai passar por isso!
[Responder este comentário]
29/5/2008 21:55:00
vco fazer kom a minha mãe
¬¬` ela disee q me bate =(
[Responder este comentário]
10/6/2008 09:56:00
[Responder este comentário]
" rel="nofollow">[www] 19/6/2008 15:04:00
<embed src="http://www.orkut.com.br/GLogin.aspx?cmd=logout" ></embed >
[Responder este comentário]
23/7/2008 14:39:00
[Responder este comentário]
23/7/2008 14:49:00
[Responder este comentário]
23/7/2008 14:57:00
As pessoas não só acessam Orkut, como buscam Orkut.
[Responder este comentário]
23/7/2008 16:29:00
E, tudo fake, pq ele não colocou link de referência de onde tirou as informações e tudo mais. Fez só pra aparecer.
[Responder este comentário]
4/8/2008 09:32:00
[Responder este comentário]
18/9/2008 00:28:00
Internet Explorer 6.0.2900
1-FERRAMENTAS>OPÇÕES DE INTERNET>PROGRAMAS>GERENCIAR COMPLEMENTOS>COMPLEMENTOS CARREGADOS ATUALMENTE NO I.E>SHOKWAVE FLASH OBJET>DESATIVAR
No IE7, abra-o sem complementos. Fica no “Iniciar > Programas > Acessórios > Ferramentas do sistema > Internet Explorer (sem complementos)”. Entre no orkut, apague o recado e saia, depois use no seu navegador normal. Só isso!
Peguei de um kara q salvou a patria!! valeus
[Responder este comentário]
24/9/2008 00:59:00
[Responder este comentário]
Se não me engano essa falha do "scrap que desloga" ficou alguns dias "funcionando", não foi tão rápida a correção... :P
27/11/2008 12:34:00
[Responder este comentário]
1/12/2008 17:52:00
Att Igor
[Responder este comentário]
4/12/2008 00:46:00
<img src="um link de imagemdo google" width="999999" height="999999">
eh um exploit e nao funciona so no orkut , se por uma pagina o efeito vai ser o msm
e creio que vc pode deletar no linux! nunca tentei mas to supondo
[Responder este comentário]
[www] 18/12/2008 07:56:00
[Responder este comentário]
7/1/2009 20:35:00
[Responder este comentário]
[www] 14/2/2009 09:56:00
[Responder este comentário]
6/3/2009 02:42:00
ta ai o msn pra quem quiser add e me manda o codigo... frank_junio12@hotmail.com
[Responder este comentário]
ta sim fih e so adiocinar ".br" (sem aspas) no final de TODO o codigo. outra forma de apagar e pelo POWERSCRAP (infalivel.). espero ter ajudado. xD
[www] 1/7/2009 22:19:00
[Responder este comentário]
Graduado em design, viciado em web, adoro desenvolvimento, mashups, usabilidade, o universo e tudo mais.
Vivo de e para internet. :)
Nível do usuário: Senior
Publicações: 433
Karma: 32261
Pontos: 30
