It's over, Apple is finished

[Mdk]

Cliccare per credere :sisi:
https://www.аррӏе.com/

[AummaAumma]

printf 'www.аррӏе.com' | xxd
00000000: 7777 772e d0b0 d180 d180 d38f d0b5 2e63 www............c
00000010: 6f6d om

printf 'www.apple.com' | xxd
00000000: 7777 772e 6170 706c 652e 636f 6d www.apple.com
:uhm:

[Mdk]

:uhm:

Caratteri cirillici al posto delle lettere standard, indistinguibile e soprattutto non fixato su Firefox e Chrome <58, con tanto di certificato SSL valido, praticamente phishing estremo e perfetto

[AummaAumma]

Caratteri cirillici al posto delle lettere standard, indistinguibile e soprattutto non fixato su Firefox e Chrome <58, con tanto di certificato SSL valido, praticamente phishing estremo e perfetto

tutto perché è troppo brutto mostrare il punycode (xn--80ak6aa92e.com) o perché non hanno assunto uno come Jony Ive a dirgli cosa mostrare nella barra degli indirizzi


Safari, along with several less mainstream browsers are fortunately not vulnerable.

[megalomaniac]

Wow

[hoffmann]

Non ho capito il problema :uhm:
È perché sono da Safari?

[Mdk]

Non ho capito il problema :uhm:
È perché sono da Safari?

Si

[Raist²]

Hey there!

This may or may not be the site you are looking for! This site is obviously not affiliated with Apple, but rather a demonstration of a flaw in the way unicode domains are handled in browsers.

See what this is about

[Zhuge]

wat

[hoffmann]

Si

Quindi "Apple is finished" per una falla che il browser Apple NON ha? :asd:
Ho capito bene?

[Para Noir]

però dal link qui sul forum vedo che c'è qualcosa che non va con la L :uhm:

http://i.imgur.com/hn1bTYe.png

[fulviuz]

network.IDN_show_punycod = true

:caffe:

[KymyA]

io ho solo capito che il link non è apple ma аррӏе

se vedete non è una ELLE ...

[Mdk]

Quindi "Apple is finished" per una falla che il browser Apple NON ha? :asd:
Ho capito bene?

Si, ma per il phishing che potrebbero fare sul sito, vi immaginate se anzichè sto tizio lo registrava uno che metteva un finto e-commerce? Miliardi in pochi minuti

[megalomaniac]

Chissà se hanno già fatto poste.it con la o cirillica :fag:

[Ciome]

network.IDN_show_punycod = true

:caffe:

fatto in due secondi, thx

[hoffmann]

Si, ma per il phishing che potrebbero fare sul sito, vi immaginate se anzichè sto tizio lo registrava uno che metteva un finto e-commerce? Miliardi in pochi minuti

Ma quali sono i browser che potrebbero essere vulnerabili?
Non Safari perché mi mostra il nome corretto e non Apple.com.

[Necronomicon]

Chissà se hanno già fatto poste.it con la o cirillica :fag:
Non serve, per fare phishing col sito delle poste, si fanno assumere direttamente

[Mdk]

Chissà se hanno già fatto poste.it con la o cirillica :fag:

Non basta un carattere, devono essere tutti cirillici per funzionare


Ma quali sono i browser che potrebbero essere vulnerabili?
Non Safari perché mi mostra il nome corretto è non Apple.com.

Chrome <58, Firefox, altri che non so, IE pare di no, Edge non so

[hoffmann]

Non basta un carattere, devono essere tutti cirillici per funzionare



Chrome <58, Firefox, altri che non so, IE pare di no, Edge non so

Bene. Roba che non uso.

[megalomaniac]

Non basta un carattere, devono essere tutti cirillici per funzionare


E allora non si può fare, niente s e t.

[Ciome]

Chrome <58, Firefox, altri che non so, IE pare di no, Edge non so

firefox: fulviuz vi ha appena postato il parametro da cambiare nelle impostazioni per far vedere il nome vero in punycode, quindi no, se uno cerca un attimo con google riguardo a questa cosa, non è vulnerabile

[Mdk]

firefox, fulviuz vi ha appena postato il parametro da cambiare nelle impostazioni per far vedere il nome vero in punycode, quindi no, se uno cerca un attimo con google riguardo a questa cosa, non è vulnerabile

Di default lo è, e non hanno intenzione di fixarlo perchè secondo loro è "un problema dei registar", che poi solo chi è a conoscenza del problema sappia come fixarlo non è una soluzione

[Ciome]

che poi solo chi è a conoscenza del problema sappia come fixarlo non è una soluzione

no infatti, è solo ignoranza. nessuno che non si informi ha una soluzione, perchè non sa neanche che c'è il problema.

tra l'altro
This bug was reported to Chrome and Firefox on January 20, 2017 and was fixed in the Chrome trunk on March 24.

[Mdk]

no infatti, è solo ignoranza. nessuno che non si informi ha una soluzione, perchè non sa neanche che c'è il problema.

tra l'altro

Appunto, Chrome pre-58, cos'ho detto io?
Considerando l'utente medio, c'è da farci i soldi ancora per diversi mesi prima che qualcuno se ne accorga, registrate qualcosa di utile, dai

[Ciome]

Appunto, Chrome pre-58, cos'ho detto io?
Considerando l'utente medio, c'è da farci i soldi ancora per diversi mesi prima che qualcuno se ne accorga, registrate qualcosa di utile, dai

il browser si aggiorna da solo in background, non c'era niente di utile da registrare

[magen1]

basta fare copyncolla ed esce fuori questo https://www.xn--80ak6aa92e.com/

[Para Noir]

basta fare copyncolla ed esce fuori questo https://www.xn--80ak6aa92e.com/

beh esce anche nella status bar sotto se è per quello :asd:

però sì, meccanismo interessante