этом - Xakep Online

50 ÎØÈÁÊÈ ÌÎËÎÄÎÑÒÈ ÑÏÅÖ 02-07êëþ÷êî ìíîãèìäâåðÿìXSSÂÎ ÌÍÎÃÈÕ XSS ÓÆÅ ÄÀÂÍÎ ÍÅÒÍÈÊÀÊÎÃÎ ÊÐÎÑÑ-ÑÀÉÒÎÂÎÃÎÈ ÒÅÌ ÁÎËÅÅ ÓÆ ÑÊÐÈÏÒÈÍÃÀ.ÍÀ ÑÀÌÎÌ ÄÅËÅ ÂÑÅ ÏÐÎÑÒÎ —ËÞÁÀß ÂÎÇÌÎÆÍÎÑÒÜ ÂÎÇÄÅÉÑÒÂÈßÍÀ (ÈËÈ ÂÇÀÈÌÎÄÅÉÑÒÂÈß Ñ, ÈËÈÏÐÎÑÒÎ ÏÅÐÅÄÀ×È ÈÍÔÎÐÌÀÖÈÈ Ê È ÎÒ)ÓÄÀËÅÍÍÎÃÎ ÏÎËÜÇÎÂÀÒÅËß,ÎÑÓÙÅÑÒÂËßÅÌÀß ×ÅÐÅÇ ÓßÇÂÈÌÛÉÑÀÉÒ ÓÄÀËÅÍÍÛÌ ÕÀÊÅÐÎÌ, È ÁÓÄÅÒ XSS.ÇÍÀÞÙÈÅ ËÞÄÈ ÓÒÂÅÐÆÄÀÞÒ,×ÒÎ ÏÐÀÂÈËÜÍÀß ÐÀÑØÈÔÐÎÂÊÀXSS — ÕÀÊÅÐÓ ÑÄÀÂØÈÉÑß ÑÀÉÒ.Dr. Maxim Orlovsky (www.arhont.com)â âàøåì àëêîãîëå êðîâè íå îáíàðóæåíî. Òèïè÷íàÿXSS-àòàêà ñîñòîèò èç ñëåäóþùèõ ñòàíäàðòíûõýòàïîâ:1 ÏÎÈÑÊÀ ÓßÇÂÈÌÎÑÒÈ;2 ÂÛÁÎÐÀ ÌÅÒÎÄÀ ÏÅÐÅÄÀ×ÈÈÍÔÎÐÌÀÖÈÈ ÈËÈ ÂÎÇÄÅÉÑÒÂÈßÍÀ ÏÎËÜÇÎÂÀÒÅËß ×ÅÐÅÇ XSS-ÂÅÊÒÎÐ;3 ÑÎÇÄÀÍÈß ÄÎÏÎËÍÈÒÅËÜÍÛÕÈÍÑÒÐÓÌÅÍÒΠÄËß ÏÎÄÄÅÐÆÊÈXSS-ÏÐÎÊÑÈ, ÓÄÀËÅÍÍÎ ÐÀÇÌÅÙÅÍ-ÍÛÕ ÔÀÉËÎÂ È ÏÐÎ×ÅÃÎ;4 ÏÎÈÑÊÀ ÑÏÎÑÎÁÀ ÐÀÑÏÐÎÑÒÐÀÍÅÍÈßXSS-ÂÅÊÒÎÐÀ;5 ÑÎÑÒÀÂËÅÍÈß ÝÔÔÅÊÒÈÂÍÎÃÎXSS-ÂÅÊÒÎÐÀ;6 ÓÌÅËÎÃÎ ÝÊÑÏËÓÀÒÈÐÎÂÀÍÈßÏÎËÓ×ÅÍÍÛÕ ÄÀÍÍÛÕ.Ïîïûòàåìñÿ äåòàëüíî ðàçîáðàòü îáùóþ èäåîëîãèþ,êëàññèôèêàöèþ è äàòü ýâðèñòè÷åñêèé àëãîðèòìñîâðåìåííûõ XSS-àòàê — òàê ñêàçàòü, îñóùåñòâèòüïîëíîå ïðåïàðèðîâàíèå êðîññ-ñàéòîâîãîñêðèïòèíãà.êëàññèôèêàöèÿ — âñêðûòèå ïîêàçàëî, ÷òîñàéò óìåð îò … XSS. XSS-àòàêè äðóã îò äðóãà îòëè-÷àåò ñïîñîá (à òî÷íåå ñêàçàòü, ìîäåëü) ïåðåäà÷èäàííûõ ìåæäó êëèåíòîì, ñåðâåðîì è õàêåðîì.  öåëîìíà íàñòîÿùèé ìîìåíò èçâåñòíî òðè îñíîâíûõìîäåëè.1XSS DOM.  ýòîé ìîäåëè óÿçâèìîñòü ñàéòà çàêëþ÷àåòñÿâ òîì, ÷òî íå ñåðâåðíûé ñêðèïò, à èìåííîêëèåíòñêèé JavaScript èçâëåêàåò äàííûå èç URLñòðàíèöû è âíåäðÿåò èõ â HTML ñòðàíèöû ÷åðåçîáúåêòû Document Object Model (DOM, îòñþäà èíàçâàíèå ìîäåëè àòàêè). Èòàê, óÿçâèìîñòü ñàéòà íàõîäèòñÿâ HTML — èëè JavaScript-ôàéëàõ, è ñòîèòïîëüçîâàòåëþ îòêðûòü ññûëêó, ñîäåðæàùóþ XSSâåêòîðõàêåðà, êàê ñîäåðæèìîå ñòðàíèöû áóäåò èçìåíåíîè â íåå óæå íåïîñðåäñòâåííî íà ìàøèíåêëèåíòà áóäåò âíåäðåí êîä èç òåëà âåêòîðà.Äàííàÿ ìîäåëü àòàêè ïî ñâîåìó ðåçóëüòàòó èñïîñîáó ïîñòðîåíèÿ âåêòîðà ïîëíîñòüþ àíàëîãè÷íàêëàññè÷åñêîé XSS-àòàêå (îíà èäåò ñëåäóþùèìïóíêòîì). Åäèíñòâåííîå ÷òî, âñòðå÷àåòñÿ îíà äîñòàòî÷íîðåäêî. Îäíàêî åñëè õàêåð íå ìîæåò âçëîìàòüñêðèïòû ñåðâåðà è íàéòè â íèõ äûðó, îí îáÿçàòåëüíîïðî÷òåò âåñü JavaScript-êîä (áëàãî îí âñåãäà äîñòóïåíäëÿ ïðîñìîòðà â îòëè÷èå îò òîãî æå PHP).È, âîçìîæíî, èìåííî òàì îí è íàéäåò óÿçâèìîñòü.ïðèìåð óÿçâèìîé ñòðàíèöûWelcome!Hivar pos=document.URL.indexOf("name=")+5;document.write(document.URL.substring(pos,document.URL.length));Welcome to our system...ïðèìåð âåêòîðàhttp://www.vulnerable.site/welcome.html?name=alert(document.cookie)Äðóãèì âàæíûì ìîìåíòîì â îòíîøåíèè ýòîãî òèïààòàê ÿâëÿåòñÿ òî, ÷òî ñåðâåð è áðàóçåð àòàêóåìîãîïîëüçîâàòåëÿ íå îñóùåñòâëÿëè àâòîìàòè÷åñêîãî ïðåîáðàçîâàíèÿñèìâîëîâ «» â ñòðîêå àäðåñàâ URL-encoded çíà÷åíèÿ «%3C» è «%3E». Íî õðàáðûåõàêåðû âñåãäà èäóò â îáõîä. Îáõîäíûì ìàíåâðîìâ ýòîì ñëó÷àå ìîæåò îêàçàòüñÿ èñïîëüçîâàíèå çíà÷êà«#» (õýø èëè äèåç), âåäü êóñîê URL ïîñëå ýòîãîñèìâîëà íå ÿâëÿåòñÿ ÷àñòüþ çàïðîñà, è òàêèå áðàóçåðûêàê 6 Internet Explorer è Mozilla åãî íà ñåðâåð íå ïåðåäàþò.Òîãäà àòàêà ñ èñïîëüçîâàíèåì âåêòîðà òèïàhttp://www.vulnerable.site/welcome.html#name=alert(document.cookie)âïîëíå ìîæåò îêàçàòüñÿ óäà÷íîé.2«Êëàññè÷åñêèé» XSS. Íàèáîëåå ðàñïðîñòðàíåííàÿìîäåëü àòàê.  ýòîé ìîäåëè ñåðâåð èìååò òàêíàçûâàåìóþ «íåïîñòîÿííóþ» (âîîáùå, â ðóññêîìÿçûêå òðóäíî ïîäîáðàòü àíàëîã äëÿ àíãëèéñêîãînon-persistent èëè reflected) óÿçâèìîñòü. Åñëè ñåðâåðíûéñêðèïò íåäîñòàòî÷íî òùàòåëüíî ôèëüòðóåòïåðåäàííûå åìó ïàðàìåòðû, òî òåëî XSS-âåêòîðàïîïàäàåò â ðåçóëüòèðóþùèé HTML, CSS ëèáî JavaScript-êîäíåïîñðåäñòâåííî â áðàóçåð êëèåíòà(ñìîòðè ðèñóíîê 1). Äà, â CSS òîæå ìîæíî âíåäðÿòüèñïîëíÿåìûé êîä ÷åðåç èñïîëüçîâàíèå êîíñòðóêöèé«url(«javascript:…»)».3 «Ïåðñèñòèðóþùèé» XSS. Ôàêòè÷åñêè, ýòîò òèïàòàê ñâÿçàí ñ ïåðìàíåíòíûì ðàçìåùåíèåì ïàðàìåòðîâäëÿ ñêðèïòà, ïåðåäàâàåìûõ îò õàêåðà íà ñåðâåð,íåïîñðåäñòâåííî â áàçå äàííûõ ñåðâåðà è ïîñëåäóþùåéâûäà÷åé ìèëëèîíàì ïîñåòèòåëåé ñàéòà(÷àùå âñåãî ýòî ôîðóìû, áëîãè è ò.ï.). Ó ýòîé ìîäåëèåñòü äâà ãèãàíòñêèõ ïðåèìóùåñòâà ïåðåä ïðåäøåñòâåííèêàìè:çäåñü íå òðåáóåòñÿ ðàññûëêà äàííûõîò õàêåðà ê ïîëüçîâàòåëþ (âñå äåëàåòñÿ ÷åðåç ñåðâåð,è êëèåíò íè÷åãî è íèêîãäà íå çàïîäîçðèò), è âîçìîæíîñîçäàíèå òàê íàçûâàåìûõ XSS-÷åðâåé —êàæäûé ïîñåòèòåëü óÿçâèìîãî ôîðóìà/áëîãà èñïîëíèòêîä õàêåðà, à ýòîò êîä ìîæåò ðàçìåùàòü ñàì ñåáÿíà äðóãèõ ñòðàíèöàõ óÿçâèìîãî ôîðóìà!