Postoji mnogo različitih računalnih napada kojima smo izloženi, u ovom ćemo vodiču govoriti o Cyber napad Cross-Site Scripting (XSS). Ovaj se napad sastoji od ubacivanja neželjenog koda u web aplikacije. Na taj način napadač može promijeniti ponašanje aplikacije, što može oštetiti podatke, izgubiti informacije, uskratiti uslugu (DoS) itd.
Na primjer, napadač bi mogao učiniti da ranjiva web stranica preusmjeri promet na vlastitu, s lošim posljedicama po vlasnika stranice i korisnike.
Kakve bi to posljedice moglo imati?
Raznoliko i ozbiljno, ali zamislite da Facebook ima ranjivost ove vrste, napadač je iskorištava, a krivotvorenjem izvorne stranice stvara se klon ove stranice, oponašajući tako Facebook. Korisnici se prijavljuju, a napadač zadržava svoje vjerodajnice, a zatim ih jednostavno preusmjerava na službenu stranicu, pa korisnik rijetko sazna.
Gdje možemo provjeriti je li web stranica ranjiva?
To možete učiniti na mnogo načina, ali najčešći je na forumima ili mjestima na kojima dopuštaju komentare u slučaju trajnog napada ili u URL-ovima u slučaju nepostojanog napada.
Što je uzrok ove ranjivosti?
Budući da stranice ne provjeravaju ispravno unose podataka korisnika, a i izlaz nije kodiran. Dakle, ako web stranica uvijek nema povjerenja u korisnike koji potvrđuju njihove podatke, programski jezici već donose funkcije koje dopuštaju, na primjer funkciju strip_tag PHP uklanja HTML oznake (ali pogledajte upozorenja koja ima).
Vrste napada XSSNetrajan ili zrcaljen tipU ovom napadu žrtvi se daje izmijenjeni URL, koji će sadržavati kôd koji se ubrizgava kao parametar.
Trajni ili izravni tipPodaci koje je korisnik umetnuo bit će pohranjeni na poslužitelju, što utječe na sve korisnike koji se povežu na web.
Vidjet ćemo primjere kako bi se napad od sada provodio.
BilješkaCilj vodiča je da možete testirati web aplikacije koje kreirate ili one ljudi koji vam daju dopuštenje, a ne da izvodite "zlonamjerna" djela.
1. Primjer nepostojanog XSS-a
Želimo preusmjeriti osobu na stranicu koju kontroliramo, ali kako bismo vjerovali da posjećuje izvornu stranicu, možemo joj poslati e -poruku s skraćenom vezom (ili ne) koja ima sljedeći sadržaj:
http://www.paginadeseada.com/?search=Ovim primjerom je jasno koliko je lako iskoristiti ranjivost ove vrste.
2. Trajni primjer XSS -a
U komentar možemo staviti HTML ili JavaScript kôd koji se sprema na poslužitelj i da se svaki put kad se učita stranica s komentarom preusmjerava na našu web stranicu, za ovaj primjer može se umetnuti sljedeći HTML kôd:
Okrećemo se drugačijem primjeru od onih koje smo sada vidjeli. Sada ćemo vidjeti primjere korištenja DVWA, web aplikacije razvijene s PHP -om i MySQL -om. Ova aplikacija već dolazi u Metasploitable 2, koju možete montirati na virtualni stroj.
Omogućit će nam testiranje različitih web napada, a možemo i promijeniti stupanj sigurnosti (za primjere koristimo niski), moći ćemo vidjeti i PHP kodove koji se napadaju, pa ćete vidjeti što nije koristiti u svojim kodovima.
3. Primjeri XSS reflektirana DVWA
U ovom odjeljku vidjet ćemo nekoliko primjera, počnimo. Ako stavimo normalno ime, isto Test, aplikacija radi dobro, pogledajmo sliku:
POVEĆAJTE
Unesemo li sljedeći kôd kao ime:
TestVidimo da ime postaje podebljano (možda na slici nije jako cijenjeno):
POVEĆAJTE
A ako stavimo ulaz, hoće li uspjeti? Za testiranje ubacujemo sljedeći kod:
Na sljedećoj slici vidimo da je to uspjelo:
POVEĆAJTE
Prijeđimo na Pohranjeno XSS (pohranjeno).
4. XSS pohranjeni primjeri DVWA
Izvest ćemo nekoliko dokaza koncepta, prvo što ćemo učiniti je umetnuti kratki tekst popraćen skriptom kao komentar, da vidimo što će se dogoditi, skripta je što je moguće lakša, a to je sljedeće:
Zdravo i doviđenja.
POVEĆAJTE
Kad ga unesemo kao na prethodnoj fotografiji, kliknemo na Potpiši knjigu gostiju, komentar se šalje, ništa se čudno ne događa, tekstualni niz se vidi, nema znakova skripte, kao što vidimo u nastavku:
POVEĆAJTE
Znači, ništa se nije dogodilo? Pa provjerimo, osvježimo stranicu i vidimo da upozorenje skače:
POVEĆAJTE
Također možete cijeniti da komentar ima samo Hello, zato je skripta stavljena između teksta, tako da možete vidjeti da je čita, zaustavlja se na upozorenju i kad kliknete U redu, imat ćete ostatak teksta i ostatak stranice koji je nedostajao (kao i zelene veze ispod dijela s komentarima).
Sada ćemo umetnuti obrazac u komentar, možete vidjeti da je broj znakova koji se može unijeti ograničen na 50, jer ćemo pregledati HTML kôd tekstualnog područja komentara (desni klik, Inspect):
POVEĆAJTE
Mi vidimo maxlength = ”50”, dodat ćemo 0 do kraja, ostajući u 500, kao što vidimo u nastavku:
POVEĆAJTE
A sada ćemo komentirati sljedeći HTML kod:
Napisati svoje ime:Vidimo da to već prihvaća, pa popuštamo Potpišite knjigu gostiju i vidimo sljedeće:
POVEĆAJTE
Obrazac je umetnut, kako smo provjerili. Konačno, ako želite vježbati sa srednjom razinom u pohranjenom XSS -u, pokušajte sljedeće:
1. Promijenite najveći broj znakova koje polje Ime prihvaća, baš kao što smo to činili i prije.
2. Dodajte sljedeće ime:
Test
3. Kao komentar stavite ono što želite.
4. Pošaljite komentar i ažurirajte zaslon, vidjet ćete da je spremljen.
Ako želite ukloniti kolačić, promijenio bih skriptu za sljedeće:
Vidjet ćete sljedeće:
Zatim ostavljam vezu do okvira koji se zove XSSer i koji će nam u tome pomoći otkrivati, iskorištavati i prijavljivati XSS ranjivosti.
Na svojoj stranici dolazi kako je instaliran (u Kali Linux 2016 već dolazi) i primjeri uporabe.
Vidjeli smo mogućnosti koje napadač ima kada mu se prikaže ranjiva web stranica, izbjegavanje ovih napada nije teškoDanas u bilo kojem programskom jeziku imamo funkcije koje nam olakšavaju život. Važno je da prije pokretanja web stranice provjerite te pogreške jer mogu uništiti vaše poslovanje.
Ako želite vidjeti vodič u kojem se koristi ova aplikacija, ali se izvode druge vrste napada: Pentesting s DVWA.
Konačno, bit će pružena veza, u slučaju da želite vidjeti drugu vrstu napada, koja se također bavi ubrizgavanjem koda: SQL injekcija.
Je li vam se svidio i pomogao ovaj vodič?Autor možete nagraditi pritiskom na ovaj gumb kako biste mu dali pozitivan bod
