Een 'stoffig hoekje' van de Epic Games' website zorgde voor een interessante aanvalsvector voor het immens populaire spel Fortnite. Misschien niet in uw leeftijdscategorie, maar als UT2004 u op de link deed klikken, dan mag u uw kinderen ook niet te bestraffend toespreken. Hoe houdt u al die oude meuk nog bij?
Om gebruikersaccounts van Fortnite-spelers over te nemen, hoefde een gebruiker alleen maar op een link te klikken die leidde naar het eeuwenoude ut2004stats.epicgames.com-domein. Via dat domein kon en cross-site-scripting-aanval uitgevoerd worden. Na het klikken op de link, werden de Fortnite gebruikersnaam en wachtwoord doorgestuurd.
De oude site bleek vatbaar voor een sql-injection-aanval en was daarmee gemakkelijk te hacken. De benodigde payload had slechts ‘redirectUrl’, ‘client_id’ en ‘prodectName’ nodig. Op die manier kon iedereen die verleid kon worden op een *.epcigames.com-link te klikken, zijn gebruikersnaam en wachtwoord gestolen zien worden.
Hoe houdt u alle oude servers en mogelijke aanvalsvectoren in de gaten?
