the security risks of web 2.0 - def con 17
DESCRIPTION
The security risks of Web 2.0 by David Rook at DEF CON 17 2009.TRANSCRIPT
���������
��� �����������������������
�������� !�"���#�$��
������
� ����������� �����������
� ���������� �����������������������
� �������������������� ��������� ���������������
� ������������������������������������ �
� !������"����������������������
������� �������������
���������������������� ��������� �!
� ��������������#�$��%�&������#�'������' &#��' �#�(�'!�����������������������
� �������)��*��+��� ����������*� �� ��,
� ����-���"����+��� ��������"��� �� ��,
� .� &�����������������"�����
� ''����-���"���������/�(���"
� 0�����������������"�����������������������+���������/�1��#����/���������,
� ���������"�������������2�
3 %�����&���'����������&���������������
����&�'�$���(�������������
3 ���������!�&�)�����������&�)���'&�����'�����
3 *���������������&�������+ ��&�� ,"�-&.�����&
� ���������"������������4
3 %�'���������������//���'&�����'�����
3 0�)�������������1���&��2����3��������
3 0�)����/����&�����3
� 5��� �����������������������������������"�����������������������������������������������"�������#������������"���������������������������������������������"������� ����������/������������������4�6������""��������������������������������������/��������������"�"��������7
����.2$�����8 ���9�
���������������� ����� �� �
�������
�������� ���� ����� � ��
��
���������������
���������������
������������
���������������
���������������������������
�����!"#$�%
"���
���������
�������
#������
���������
�������
�����
�������
�������
����
�����������
���������
$���������%���&�%'�(
�����������%��)���&�%*�(���'�(
+������� &�%*�( &�%'�(
0������������:������ $����/������� ������/�������
&������������ 6��/������"������
;����������������� �/� 6<��
�������/�� !�=>#�!��&#�!��& �?�@#�? .)#� .�&#�$< �#�@=>#�!��&#�!��&
���������� ������������
�����8 ��� &�����&�
������ �������������������� �������������������
��������������"����� -���������#������"�������"�����
&���� ������ &���� ������
� ������ ��� ���"���/
� ������ ���$�����0��/��
� A>�'�*�����
� ��������������������������������0����
� '�����������>���/
� '������ ����/
� '��������������������
+�����&�%'�(,������%�������
� .����"����������������������������"��������� ���������������4
3 @ �����
3 0��'�*������
3 =����"�������/��!����
����&�%'�(��������,������%�������
� )�������� �B�)�
� '������������������ �B�C�
@ �����������������������""�����������������
��""�������������������������������������������
���������������/����������/������������
+�����������������-���
� &��������5 ����7
� ���������������"���������������������+����/����������,����������������������"�/�
� �����4�D����"�E�������� ��������F�G���"4::%��"���� ���:�/�8���:����������� �/�BGH������� ������D:����"�E
� )��8&��������5$�����7
� '�"��������������������������"�/�����������������
� �����4�D����"�E����+������� �����,D:����"�E
� -.=�6���
� ��������������������������"�/��-.=#�����������������������������������������������
� �����4����"4::%��"���� ���:��� "�"B���FD����"�EIII
� ���"�������4�D����"�E�����"��F������� ;$> ���%.�+J���FJ,HKL������� ����+������� ;$> ��������/+"��#������� ;$> ��/��,,L�D:����"�E
+�����������������-���
+�����������������-���
� ������������������������� �B
� -�������������������-.=������� ���""�
� ;�������������������������"����
� ���"��"�/����/�@ �����������
� �����+� �? .)#�@=>���,������������������������
+�����������������-���
� -����������������-.=�����?�@�����$'���""������������������*�������"����������������������� �����������������������������������������-.=
� '���������������� ����+����,�������������������/����������������������������������������4
D����"�E����+������� �����,D:����"�E�
��������*������������-.=
� =�����������"���������������������? .)��������������-.=�������*�������"�����+,
������������+,�
M�
�������"L�
��+������ @=>!��"$����,�M�
���"�F����@=>!��"$����+,L�
N�������+������ �����@.�*��,�M�
���"F��������@.�*��+J=�%��� @=>!��&J,L�
���+O����",�M
���"F��������@.�*��+J=�������� @=>!��&J,L�
N�
N�
���" �"�+J(<�J#�7���"��%� "�"B���F���"4::������8%��"� ���J#����,L
���" ��������������/�F���������+,�
M����+���" ���� ����FF�P,�M�
������"����F����" ��"����%�L�::���������������
���+����,�N�
N����" ���+����,L�N
+�����������������-���
� )�������� �B�)�
� '������������������ �B�C�
+����������.����/������+��/�
��� $0������������������//�8���������2������������������"�8������������������������������������""��������#��������������������������2������������"�����������������������������������������������
@ �OF�� $0@ #���������������"�����%����������������2��������#����������� $0#�������������������������������%������/��������������������������
&. �����"4::���*������ ���:��/�� ���� !��&:� �!��&������������������F���*����Q"���F)��*�����Q �����F �����
+����������.����/������+��/�
(<�����"4::���*������ ���:"������B���*�F�/���*�Q �����F ����� ���� !��&:� �
!��&��������������� �����'-F���RPK9STU
+����������.����/������+��/�
D'=(� $�F5���"4::���*������ ���:"������ ����B���*�F�����*�7 :E!��&:� �
!��&��������������� �����'-F���RPK9STU
+����������.����/������+��/�
+����������.����/������+��/�
� ������������������������� �B
� @=>�����? .)�������������������������"�������
� ��� ���������������������������������
� ���.��/���&����������G��"���������
+����������.����/������+��/�
� -�����������V������/������-��1�
� D'=(� $�I ����D'0$�=<� $�I �������%"�������
D��/����FJ���"�4::��� /��/� ���:��������:;"���&������
�����F����Q��F�Q/���"�F.��&�����Q.��&�����F&� .$-�Q&�����
F�����RQ&������/���F�����RQ"FQ���F ��JE
D���������FJ���"�4::��� /��/� ���:��������:;"���&������
�����F����Q��F�Q/���"�F.��&�����Q.��&�����F&� .$-�Q&�����
F�����RQ&������/���F�����RQ"FQ���F ��JE
(=�'>�����/�"��������� $0�������������
+����������.����/������+��/�
(��/������������ $0������? .)
� )��������@=>!��"$�����+@!$,�"�������������������������������������
� ? .)���������������������������������������������
� ����2������������� ��������������/�������B
� ? .)���������������������O
(��/������������ $0������? .)����������
+����������.����/������+��/�
D����"����"FJ�%�:*�������"�JE
���������/��/�+����,M
��� �����#��L
����+� F��L�� D����� 6��� �������� ��/��L��HH,�M
������HF�JD��EJ�H����� 6��� ��������W�X <���� H�JD:��EJL
N
������� ����+JD��EJ�H�������H�JD:��EJ,L
N
D:����"�E
D����"����"FJ�%�:*�������"�J����FJ���"4::���� /��/� ���:����:��������B���F*�Q����F�>>Q"����F��������Q��������F/��/�Q��%FUUUUUJE
D:����"�E���������!�������������������������������������
� )�������� �B�)�
� '������������������ �B�C�
�01��2������
�� A>���*�������������������������������������J��*�����J������ A>���������������"�����������������������������""��������
�����������������F���� �����+J������J,��������F�J <><���Y�0$.=������!<$<�����F�GJ�H����)���H�JGLJ
�01��2������
'������2 ���Z�2FZ�
�F��FF����#����/�O
J <><���Y�0$.=������!<$<�����F�Z�2 .$�Z�2FZ�2L
�����"��%��"�#����� A>�'�*����������������������������/������������������������������4
����� ������3 P������������������������������������ A>�'�*���������"�������S�#���H����������������������������������/������[���������V<���������������U�������
������"����������������������� @\�-������
�01��2������
� ������������������������� �B
� 6��/����������"�����������%"������/���� ���������/��
� !���������������*���������������� ��������������
� !���������������*��������� �����/�*�������"� ���������
�01��2������
� '�*��������������������? .)#�@=>#� .�&���
������� ���� A>�'�*������%"����#�?������U
���������C<�!P��<�
�94��]����F�����V��+G��/��G#GG#���,L
R�4��]"��F�����V��+G"�������G#GG#���,L
S�4�]�����F�����^����+J <><���Y�0$.=�G��^����G�!<$<�+�����>'\<�GJ ]���� JG,��)-�+"��������>'\<�GJ ��K+]"��, JG,�>'='���J#]���,L
<8=���F�R��P��R�_/���� ���G,�.$��F��:Y
&�������F������/
�01��2������
�01��2������
A>�'�*����/�����������*�������"�#�?�������U
-<�>�$<�_���������+�KK,#_���������+�KK,�-<�>�$<�����^��������;$ .$�0.$������� ���#� ��������������*�����#������������������ ��F� �������� %��"FG�G�����+� %��"FUU����� %��"FRK����� %��"F�R������ %��"F�9S,�.&<)�����^�������0<��!�)<@��0$.=������^�������')�.�_�#_��!'><+__0<��!^ ���; F�,�6<(')�%�+G�"����WGH_�HGX����WGH_�HGXF�����+������+�������#WGH_�HGX,,HGGD����"�����F���"4::��� ��:* *�ED:����"�EGGG,0<��!�)<@��0$.=������^�������')�.�_�#_��<)-��>. <�����^�������-<�>>.���<�����^������
���"4::��� ��:* *����������������������/4
������� ������+JD���������F���"4`:`:��� ����� ���`:����`:���% ����������F������/��F�ED`:�����EJ,L
������� ������+JD����"����"F`J�%�`:*�������"�`J����F`J���"4`:`:*� ���/*� ���1��/ ���`:��TUKT�`:���/*� *�`JED`:
�01��2������
� )�������� �B�)�
� '������������������ �B�C�
-3�45��2������
@&��!�'�*������������������������������������
���8��""��������������������������������@&��!������
����@=>�����
-3�45��2������
����� %��
DB%���������FJ� �J�������/FJ;�08TJBE
D����E
D���E
D��������E ������D:��������E
D�������E)��*�D:�������E
D��/��'-E����*�D:��/��'-E
D"�������E����D:"�������E
D:���E
D���E
D��������E6����D:��������E
D�������E�����D:�������E
D��/��'-E��������D:��/��'-E
D"�������E������ ���D:"�������E
D:���E
-3�45��2������
::�����:���W��/��'-:�%�+,FZ����*�2 ����"�������:�%�+,FZ����2X
'�����G�����F�
::�����:���W>�/��'-:�%�+,FG�G�����F�������"�������:�%�+,FG�G ����F�X
�F��FF����#����/�O
�����"��%��"�#������*���������G�����F��������������������"���������������������������
-3�45��2������
� ������������������������� �B
� @=>�������@�����?�@O
� )�������� �B�C�
���"��"�/����/�@ �������*��������������
�""���������������������"����������������������"�/
-��&����
�������/������ ��������������
)��@ ����������������������������"����������
��������/��������� ���
0�����@ �����#�P�������/���"���������/��=� "���
���������H���������������P������
<���������U� ������������������
-��&����
����������#��������������������/���O
����-��������#������������ �"�������U
-��&����
;�������"�/�������������������/���"�����������4
����%���F��������+G���"4::��� ���������� ���JED:�ED����"��
���FJ���"4::��������1 ���� ���:% *�JED:����"�ED��G,L
�����������% *����B
��� �������F�������� �������<���� ����!�=>L�
�����/�F��� $/<%"+:����� ����^�����������^�����F�G+ Y,GL:/,L�
�������������F������/ %�+������,L�
���������F���������W�XL�
��������������� �
��� ������;"���F�� �����+,L�
������;"���W�XFJ-��#���� ����-���� ��� �������� ����G���������BJL�������;"���W�XFJ?������� ����-���� ��� �����OJL�������;"���W�XFJ����#���� ����-���� ��� 4,JL�
������;"���WRXFJV����OB����B���� ����-���� ��� ����/��OJL�������;"���WPXFJ�� ��� ����-���� ���JL�
������;"���WKXFJ_���������� ����-���� ���JL
��� /�$����F�������;"���W=��� �����+=��� ������+,Y������;"��� ��/��,XL�
�"���<�����F��������+/�$���,L�
��� %���F��������+G���"4::��� ���������� ���JED:�ED����"��
���FJ���"4::��������1 ���� ���:% *�JED:����"�ED��G,L
-��&����
��� �*�%�����F��� @!����+,L�
�*�%���� ������+J:������:�"���J#�J&. �J#�J�����������^����FJH���������HJQ������FJH�"���<����HJQ���F���Q�"���F�"���J,L�
��� �*�%������F��� @!����+,L�
�*�%����� ������+J:�������:�����/�J#�J&. �J#�J�����������^����FJH���������HJQ���W���XFJH%��HJQ���F���Q�"���F�"���J,L
-��&����
��� �������F�������� �������<���� ����!�=>L�
����/�F��� $/<%"+:D����������FJ+ Y,J����FJ������8���8����^���J:/,L�
��� �������F�����/ %�+������,L�
�������F�������W�XL�
��� �����L
������F��������+������� �����,L�
������� ����+JD��/����FG���"4::��������1 ���� ���:% "�"B�FJ�H�������H�JQ������FJ�H��������H�JGEJ,L�
������� ����+JD��/����FG���"4::���������� ���:��/ /��GEJ,L
-��&����
-��&����
!�������������/������B
� ����������/����������������������"���������
� ��������/����:��������"����
� '�����/��:!�����: �"�������+&-&:6 !������,
� ;���/�������������������--�
� )�������� �B�C�
0���//�/��������������������/��������������
��������������� ������������/�������������
��������������%"���������
/�����2�������
DB%���������FJ� �JBE
D��� ������FJ� �7E
D������E
D����E)��*��)��D:����E
D����E���"4::%��"���� ���D:����E
D�����"����E)������������������/����*�D:�����"����E
D���/��/E�8��D:���/��/E
D"��-��E�#����?������U��U4��4���(=�D:"��-��E
D����6����-��E0��#����?������U��U4�R4�U�(=�D:����6����-��E
D����E���"4::%��"���� ���:����D:����E
D/������E<�������D:/������E
D����/��/<�����E�����_%��"���� ���D:����/��/<�����E
D��=����E�������_%��"���� ���D:��=����E
D���EKD:���E
/�����2�������
/�����2�������
$����a���$����
� ��������������������������������������/���
� ����������������@ ������ $0�"������
D���E
D����ED����"�E������� ��������FZ���"4::%��"���� ���:�/�8���:����������� �/�B2H������� �����D:����"�ED:����E
D����E���"4::%��"� ���:���:���*�D:����E
D�����"����E������������/���OD:�����"����E
D"��-��E0��#����?������U���4P�4�T�(=�D:"��-��E
D/���E���"4::%��"���� ���:���U:�9:�� ����b����D:/���E
D:���E
D:������E
D:���E
/�����2�������
D���E
D����EQ��L����"�Q/�L������� ��������FZ���"4::%��"���� ���:�/�8���:����������� �/�B2H������� �����Q��L:����"�Q/�LD:����E
D����E���"4::%��"� ���:���:���*�D:����E
D�����"����E������������/���OD:�����"����E
D"��-��E0��#����?������U���4P�4�T�(=�D:"��-��E
D/���E���"4::%��"���� ���:���U:�9:�� ����b����D:/���E
D:���E
D:������E
D:���E
/�����2�������
/�����2�������
>�����a���$����
� ���������������������������!�=>����
� '�������� %����������������������������������
� ��������/�������������������������������������%�
D����"�E
�%�0��FJJL��0��FJ�4``����� �%�JL
��� ����0�� F���������@.�*��+J ���"���/ 0�� ����.�*��J,L
��� $������0�� F�����0�� ."��%�0��+��0��#�#���,L
�%�0��HF�$������0�� $�����+,L
$������0�� ����+,L�����+�%�0��,L
������� ��������FZ���"4::%��"���� ���:�/�8���:��������� �/�B2H��%�0��
D:����"�E
/�����2�������
C������ � ��������������
� (;' "� ���������������� ;$>2����������
� ;$>������������%�+,�����������������
D����������FJ� �JE
D������E
D����E������D:����E
D���E
D����E����"����8 �����:��":�����^���D:����E
D����E���"4::��� %��"���� ���JL"���8�J"�����G�����������������/���G�J�EJ:��":�����^���D:����E
D"��-��E0��#��9�.������S��P4��4�K�H�R��D:"��-��E
D:���E
D:������E
D:���E
/�����2�������
���������-������(���������������������������������
!�������������/������B
� V����������������������������������������
� ���/���������������������/������//��/
� $��������������������"�����������/
/�����2�������
� )�������� �B�C�
=����"��������/�������������"�����������
� ������ ���������������������������"������������
%"�����������������������/������������������@ �
����� $0
6��7�����&�����5����
6��7�����&�����5����
���"4::�� ��� ��:6�����/)��=�":
6��7�����&�����5����
=����"�
=����"� ������������������#����������������B
=����"����"���#�������"��
=����" �����������������������������
=����"� ������������������������#������� .&
6��7�����&�����5����
���"4::��� /��/� ���:�/
6��7�����&�����5����
��/��
��/�������"�������"��������������
���"�����������/�����������������#������"����
�����-.=��������������������"�������
0����������*�����/���������������"������
6��7�����&�����5����
=���������0��������""���������
�����������""��������
6��7�����&�����5����
=���������0��������""���������
�����������""��������
6��7�����&�����5����
=���������0��������""���������
6��7�����&�����5����
6��7�����&�����5����
=���������0��������""���������
�����������""��������
&���"�������������������"���� �����""���������
P[��������0������ �������������� ���������
)����������������������������#������a��/� �
� )�������� �B�)�
� '������������������ �B�C�
�""���������������������������������������������������
����������/�������#���������������/�#�����������"�������
�����/���������������""���������"������
�����������1������
�����������1������
�����"����������������������/������/������������
����������� ������������ ��
������������������
������������ ����������� ����������
�������� �!"����"#$ !$�
%��!$&"�����%"�'� (!�&)"� ���
���"4::��� %��"���� ���:��� ����B���F=�����
'��������������������/���������;$>
���"4::��� %��"���� ���:��� ����B���F=�������)-�����������F�
)��������������/�F�����������������/
�����������1������
� ������������������������� �B
� ->�������������������������������������"���������
� 6���������/��������������������������������������
�����������1������
$����/� ->�����������������������/�"������/�����
'��������������/������/����#������"4����
DO88 ->�����������"�����%���������4�� �$�R�6��������0���T#����K�+��4�K4�P�< �,�88E
DO88 ->�����������"�����%���������4�� R�6��������.����K#����K�+�K4�R4RS�<-�,�88E
DO88 ->�����������"�����%���������4�� P�6���������"����#����9�+�94KK4PT�&-�,�88E
DO88 ->�����/���������a�� ����� �88E
DO88 ����������@=> "� ����K��� �R�;�+���"4::��� %%%% ���,���������+%%%,�88E�+��������"����������������O,
�����������1������
&�������/�������������/�����������������/�����������"������
D%�4���"���"����FJ<������"JED%�4����������ED%�4������������E<�����������D:%�4������������E
D:%�4����������ED%�4��������������FJ%�4�����/JED%�4��%>�/�������FJK�J:ED%�4"����������FJ H_ HJ:E
D:%�4����������ED:%�4���"���"E
�����������1������
��� ���""����������������������������������������
� =�������������������������������������������S
� )������������������������������������������
� C�������������������"��������������������
� V�����������������#�����������/�������������������
� ���������\����(���1�����
�����������1������
� )�������� �B�)�
� '������������������ �B�C�
��������������������������*�����/�������������������#�
"�����/����������#����������������1����������
�����������������������#����������"����������������� �
���7����������������7��������� /��)�
���7����������������7��������� /��)�
� ������������������������������� ������
� &�������������������%��/#������������/�����������"�%���
� >�����������������"��������
� 6�������&��!��������
� ������������/�����������
� ������=���/����������
� >���������������������"������������'-2�
� &����������������'-2�
� >�������������������������������%�����������������'-2�
� ;���/�����������'-�������������������
���7����������������7��������� /��)�
0�����������������������"���
� &���������;$>���������"������������������
� R�"������������������;$>
���"4::��� ������� ���:����� "�"B���F8RQ��F�K�T�RPK99Q�F���U�
� ���F�+���������'-,�
� ��F�+�������'-,�
� �F�+�������������,�
���"4::����������*� �� ��:���/:B"F�UT����������-�����$����L8,�
���7����������������7��������� /��)�
���7����������������7��������� /��)�
���7����������������7��������� /��)�
���7����������������7��������� /��)�
� ������������������������� �B
� ��&��!�2� �������"�����������/��H������������������
� =���������"������������ ���""���������
� ������������/����/����������������/��"��������������
� (���������������������������������������H�
� )�������� �B�)�
� '������������������ �B�C�
�������������������������������������������������
����""��"����������/�"�������������2�����"��� ��
������������������+�������������
������������������+�������������
� '�����������/��������
� )�������"���/�������������
� !���������/�����������:������������������/����
� ;���/�������"�������������������+� �-< ,
� 0�����/������������������/�����"��������
� '��������������������
� )�������"���/������������������������
� .��������/� >:�> ������������������/��������
� 0�����/����"���������������������������
� <������/�������%��"��������
������������������+�������������
� ������������������������� �B
� =���������������"����#���������/����������������/
� =�%��/�����������������������������"�/
� =��������������"�%���������� ���""�
����������������������������)��7&�%'�(
� ���������������/��/����������� +��������������,
� ;�����""����������/��������������
� -�����������������������������������/������
� '�������������������"���"�����
5�)��������������7����������%�������8
� 0�������������#��"������������"�����"��
� ���������������������"�������������������
� -���"�������#��������"�����5������������������7
� 6������������������������#����2����������������������������
� '�"���V���������3 -��9:��2������
� .��"���V���������3 -��9:��2������9;�������������
� <�����!������/3 �����������1������
� �������������������������������3 &���������+������9�������������<�9+��/
� ������=���/���3 4�������9�����������������9+��/
� ������������������3 ������3�����������4������
� ���� ����/3 ������3���������)7��������
� ����$�����������3 ����������������������������������9�����3����9/����������
47������������������3���������
��������������� ��
���������
������� �� ����������� ���������������� ��
��������
�������� �����
! �� �� �� ���" ��������
#�������������������������� ��"���
�������$������"���
%���������������
������������� ��������� ����$&'
(� �����)���������������
���� ��!���
$������ ���������"�� ������� ��
+���
�����)
��������
4��������.���������
������
������
�����������
5�)��������������7����������%�������8
*
'=
>
��� ����������*� �� ����� ��������"��� �� ��
������4�_����������*�
-�����$���#��%���"����/��""�����4�<"�����#��P�� ��/���#�-�����#�'�����