Неофициальный форум г. Ростова-на-Дону Пятница, 29.03.2024, 16:45
Приветствую Вас Гость | RSS
[ Новые сообщения · Участники · Правила форума · Поиск · RSS ]
  • Страница 1 из 1
  • 1
Форум » WEB » В помощь WEB-Мастеру » XSS
XSS
SinayДата: Пятница, 20.07.2007, 13:37 | Сообщение # 1
Создатель
Группа: Администраторы
Сообщений: 87
Репутация: 1
Статус: Offline
маленькая статья по Xss

Xss это Css => Cross Site Scripting
Чтобы не путать с CSS также назвыают XSS
Впервые этот БАГ появился в 1997.

Как используют XSS

что такое Cookie ?

Cookie — это небольшая порция текстовой информации, которую сервер передает браузеру. Сами по себе cookies не могут делать ничего, но когда пользователь обращается к серверу (набирает его адрес в строке браузера), сервер может считывать информацию, содержащуюся в cookies, и на основании ее анализа совершать какие-либо действия. Например, в случае авторизованного доступа к чему-либо через веб, в cookies сохраняется логин и пароль в течение сессии, что позволяет пользователю не вводить их снова при запросах каждого документа, защищенного паролем.

Как включить куки
Internet Explorer 6 и 7:
В меню Tools (Сервис) выберите пункт Internet Options (Свойства обозревателя), откройте вкладку Privacy (Конфиденциальность), и нажмите на кнопку Advanced (Дополнительно). Установите флажок Override automatic cookie handling (Перекрыть автоматическую обработку файлов cookie) и оба флажка Accept (Принимать).
Firefox 1.5 и выше:
В меню Tools (Инструменты) выберите пункт Options (Настройки). Перейдите в раздел Privacy (Конфиденциальность) и откройте вкладку Cookies. Установите флажок Allow sites to set cookies (Разрешать сайтам устанавливать cookies). Нажмите на кнопку Exceptions… (Исключения…) и убедитесь, что адрес сайта, с которого необходимо принимать cookies, не заблокирован.
Firefox 2.0 и выше:
В меню Tools (Инструменты) выберите пункт Options (Настройки). Перейдите в раздел Privacy (Конфиденциальность) и в блоке Cookies установите флажок Accept cookies from sites (Принимать cookies с сайтов). Нажмите на кнопку Exceptions… (Исключения…) и убедитесь, что адрес сайта, с которого необходимо принимать cookies, не заблокирован.
Opera 9 и выше:
В меню Tools (Инструменты) выберите пункт Preferences (Настройки) и перейдите на вкладку Advanced (Дополнительно), выберите пункт меню Cookies и установите Accept cookies (Принимать cookies).

А если ты админ и у тя есть доступ к сайту, а я – пользователь который украл у тя cookies то я могу спокойно зайти на сайт и у меня будут администраторские права.

Бывают пассивные XSS и активные XSS.

Пассивные - это Xss, которые требуют от жертвы непосредственного участия + есть специфические ограничения и сложности.
Поэтому, пассивные XSS не очень ценятся.
Например, нужно заставить её пройти по ядовитой ссылке, что потребует социальной инженерии, хитрости.

Активные - это XSS, которые, не требуют никаких дополнительных действий со стороны жертвы - ей достаточно лишь открыть страницу с вашим XSS и ява-код выполнится автоматически.
Благодаря своей автоматизированности - они очень полезны и ценны.

Причины
Практически все web-браузеры умеют исполнять код внедряемый в web-страницы закаченные с web-сервера. Такой код может быть написан на различных скриптовых языках (например: JavaScript, VBScript, EcmaScript, Perl, Python и др.). Большинство браузеров поставляются с включенной возможностью исполнения внедрённых в web-страницы скриптов.
Основная часть web-сайтов используют web-приложения, которые генерируют динамические страницы c помощью специальных технологий (например: CGI, ASP.Net, ASP, PHP, JSP, Perl и др.). Эти приложения могут получать данные от пользователя, и после обработки выводить их на web-страницу. Данные от пользователя могут приниматься из параметров URL, web-форм, заголовков HTTP, а также некоторыми косвенными способами (возможность пользователя вмешаться в процесс генерации динамического содержимого, переполнение буфера в программном обеспечении и т.д.).
Объединив эти две возможности, мы и получаем уязвимость межсайтового скриптинга: пользователь, некоторым образом, изменяет входные данные, чтобы они содержали вредоносный код.
Цели
1) Воровство учётной записи
В силу специфики web-приложений, многие из них хранят признак аутентификации в cookie-записях, которые могут быть подменены, изменены, скопированы с помощью эксплуатации xss-уязвимостей.
2) Слежение за действиями пользователя, сбор статистики
Определённые или все действия пользователей могут отслеживаться, в том числе и ввод конфиденциальной информации (паролей, номеров кредитных карт, предпочтения в некоторых областях и т.д.)
3) Эксплуатация уязвимостей браузера, операционной системы
XSS атаки могут использоваться для внедрения на пользовательский компьютер вредоносного кода (вирусов, “Троянов”, шпионских модулей).
4) Подмена информации
Возможность подменять информацию, на подверженных уязвимости xss сайтах, с целями компрометации их содержимого и др.
5) Другое
Уязвимости могут использоваться в качестве перенаправителя информации, в качестве источника DOS атак.
Уязвимости технологии ASP.Net:
1) Unicode XSS Attack: возможность обойти механизм проверки запросов и фильтрации содержимого с помощью кодирования в Unicode.
2) Уязвимость канонизации в ASP.NET: символ %5c позволял обойти ограничения безопасности.
Рекомендации по защите
Пользователям:
1) Отключить исполнение скриптовых блоков в своём браузере.
2) Обращать особое внимание на подозрительные ссылки, содержащие закодированные данные.
3) Отключить возможность хранения куки-файлов (cookie).
Разработчикам:
1) Не доверять никаким данным, поступающим извне, лучшая стратегия в таком случае: все, что не разрешено явно – запрещено.
2) Использовать инструменты сканирования на предмет xss-уязвимостей.
3) Не хранить чувствительные данные в куки-файлах (cookie).
4) В случаях использования web-сессий, привязывать сессионный идентификатор к большому числу характеристик пользователя и обязательно указывать срок истечения. По возможности использовать временные сессии.
Выводы
Недостаточное внимание разработчиков к такого рода атакам и методам защиты от них, привело к появлению большого числа уязвимостей (практически ежедневно в листе bugtraq публикуется несколько таких уязвимостей). Последствия XSS-атак могут быть очень значительными, несмотря на всю простоту их организации. Кроме этого они могут использоваться как промежуточное звено в более крупных атаках в сети Интернет.
Необходимо сосредоточить усилия на то чтобы обратить внимание поставщиков ПО и разработчиков на проблемы существующих xss-уязвимостей, и обеспечить понимание последствий возможных атак, а также ответственности связанной с исправлением обнаруженных уязвимостей.


ВСЕ ЛЮДИ , КАК ЛЮДИ , А Я ОДИН БОГ И МНЕ ВСЁ ПОХ!!!

Сообщение отредактировал God - Пятница, 20.07.2007, 13:37
 
Форум » WEB » В помощь WEB-Мастеру » XSS
  • Страница 1 из 1
  • 1
Поиск:

Copyright MyCorp © 2024