Computerbeveiliging - Hoe je bad guys buiten de deur houdt

xss

08-09-2012, 18:20 door Anoniem, 7 reacties
Hallo,

Ik heb kennis leren maken met XSS.

Door de script: ''<script>alert("TEST");</script>)'' ergens in te zetten krijg je een msgbox met ''test''

Maar wat is daar zo erg aan? zijn er codes die de pagina bijvoorbeeld kunnen hacken?

Dank voor reacties.
Reacties (7)
10-09-2012, 11:50 door Anoniem
Maar daar is helemaal niks ergs aan ;)
10-09-2012, 12:18 door Anoniem
Het is in die zin gevaarlijk omdat je eigen javascript kan uitvoeren van mensen die de pagina bezoeken. Bij reflective xss (Zoals jij hier noemt) moet je iemand op een link laten klikken waar dat op staat (Bijv: http://www.security.nl?q=<script>javascript</script>).

Voor een leek is de website vertrouwd, en de rest achter de url gewoon technisch blabla. Ondertussen wordt er javascript uitgevoerd en wordt het slachtoffer bijvoorbeeld geredirect naar een exploit kit waar hij een mooie infectie krijjgt.

Een persistent XSS is hetzelfde met als verschil dat de XSS code ergens opgeslagen staat, bijvoorbeeld in een commentaar boxje. Je hoeft iemand niet te verleiden ergens op te klikken, men hoeft alleen maar naar de pagina te surfen waar de code staat, wat het weer een stapje gevaarlijker maakt.

Dus ja, in die zin is het best erg, als je weet hoe je het moet gebruiken
10-09-2012, 12:31 door Security Scene Team
Door Anoniem: Hallo,

Ik heb kennis leren maken met XSS.

Door de script: ''alert("TEST");)'' ergens in te zetten krijg je een msgbox met ''test''

Maar wat is daar zo erg aan? zijn er codes die de pagina bijvoorbeeld kunnen hacken?

Dank voor reacties.


dit is wel de simpelste voorbeeld van "test" die genoemd kan worden. maar buiten dat, word XSS (cross site scripting) gebruikt om sessies, of cookies te stelen.. ook kan er javascript geinjecteerd worden, html flash etc. het is wel eens voorgekomen dat een site gehackt is d.m.v. xss maar tegenwoordig komt dat niet zoveel meer voor. deze aanval word vaker gebruikt in phishing d.m.v. van een zogehete xss link.

de pagina word hoogstends gehackt in combinatie van XSS met een andere aanval.
XSS is bijv ook een hele goeie aanval om het systeem beter te leren kennen die jij wilt hacken.

het is dus niet zo dat; je een 1 of andere nasty code hebt die alle "paginas" kunnen hacken.. je moet nog steeds opzoek gaan naar een XSS vulnerability in een bepaalde webapplicatie. heb je die niet gevonden, kan je zoveel codes proberen als je wilt maar geen kans op success.

Goodluck.
10-09-2012, 12:32 door [Account Verwijderd]
[Verwijderd]
10-09-2012, 12:55 door Bitwiper
Aardig filmpje (je zult wel de Engelse taal moeten beheersen): http://www.youtube.com/watch?v=O90lSMmTjjo.

De spreekster is wat nerveus en je moet geduld hebben, maar wat er zo erg is aan ''<script>alert("TEST");</script>)'' komt prima tot uitdrukking.
10-09-2012, 14:36 door Anoniem
Een geïnjecteerd script kan alles wat andere JavaScript-code ook kan, inclusief het stelen van cookies, het posten van berichten en in principe alles wat de website aan mogelijkheden heeft.
10-09-2012, 17:17 door jasper-koehorst
Sommige nieuwsgroepen bijvoorbeeld zijn bijvoorbeeld gevoelig voor HTML waar het soms niet mag.

Als je daar deze code in zet:

''<META http-equiv="refresh" content="0;URL=http://www.google.com">''

Als je dan op de pagina komt ga je automatisch naar google, stel je voor als google wordt vervangen met een kwaadaardige website...oops!

Nog iets: er is een XSS exploit in Clipster Video Persistent gevonden, bij deze wordt in de username een html code gezet. als je dan op de pagina komt kan er een XSS worden uitgevoerd op de bezoekers

Zie deze exploit op: http://www.exploit-db.com/exploits/21133/
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search