La sicurezza dei siti web è un prerogativa per tutti quei siti bancari e molto frequentati. Tuttavia non sempre questi siti sono completamente sicuri. A volte succede che per errore, o per distrazione dei programmatori, interi sistemi informatici che dovrebbero essere protetti possano essere utilizzati da dei truffatori.

In questi giorni ho scoperto una vulnerabilità sul sito della nota compagnia American Express, che, come molti sanno gestisce varie tipologie di carte di credito.

In un server di American Express risiede uno script jsp che permette il redirect ad una pagina anche esterna al dominio di americanexpress.com. In pratica un url di questo tipo:

http://www109.americanexpress.com/rightp/intl_ads_redirect.jsp?location=http://www.andreagiuliani.com
In questo caso vi apparirà la pagina principale di questo blog. Ovviamente funziona alla stesssa maniera anche un url codificato come il seguente:
http://www109.americanexpress.com/rightp/intl_ads_redirect.jsp?location=%68%74%74%70%3A%2F%2F%77%77%77%2E%61%6E%64%72%65%61%67%69%75%6C%69%61%6E%69%2E%63%6F%6
In questo modo è più difficile da interpretare, sopratutto per un occhio poco esperto.
Questa vulnerabilità potrebbe essere sfruttata da dei truffatori che creando una copia del sito originale di American Express e spedendo delle mail con il collegamento malevolo potrebbero convincere alcune persone a cliccare sul link e quindi venire reindirizzati nel sito truffa. Se la vittima eseguisse il login il truffatore avrebbe tutti i dati per la gestione remota di una carta American Express.

Questo post è stato scritto grazie all’aiuto di Vincenzo Ampolo che mi ha fornito informazioni tecniche, supporto, e si è occupato del security advisory che è stato prontamente spedito all’American Express. Su suo blog troverete pubblicato lo stesso articolo.