XSS (Cross Site Scripting) міжсайтовий скриптинг — тип атак на інформаційні web системи, що дозволяє вставити довільний JavaScript код в тіло сторінки.
Найчастіше використовується для викрадення файлів cookies, які використовуються для авторизації користувачів в системі. Використовуючи даний тип атак також можна, знаючи структуру сайту, примусити користувача з високими правами доступу змінити, видалити або будь яким іншим чином модифікувати інформацію.
(Наприклад, на it-arena.org, якщо суддя перейде за посиланням, можна підвищити оцінку за свою роботу J )
Зараз наша мета – отримати cookies (“печиво”) для авторизації на порталі IT-Арена.
Перший крок: Шукаємо посилання, в якому є якісь зміни, що впливають на вихідний код. На it-arena.org це номер статті.
Другий крок: Дивимося вихідний код і знаходимо функцію, яка міняє своє значення відносно параметру.
Третій крок: Тепер нам необхідні () та “’; для закриття функції. Перевіряємо їх на фільтрацію. Для цього задаємо їх з параметром.
Четвертий крок: Дивимося вихідний код і бачимо, що фільтрація відсутня, а значить можемо приступати до реалізації нашої мети – «Викрадення печива».
П’ятий крок: Тепер оформляємо таким чином, щоб можна було виконати нашу функцію (Закриваємо стару).
Шостий крок: Дивимося вихідний код і бачимо, що функція закрита.
Сьомий крок: Далі вводимо свою функцію (у прикладі це alert(document.cookie)), не забуваючи закрити залишки попередньої функції. Якщо ми не закриємо її, то код просто не працюватиме, оскільки браузер «просто не зрозуміє», яка це функція і як її виконувати.
Восьмий і фінальний крок: Натискаємо Enter і отримуємо наше «печиво» для авторизації J
Мета досягнута: Далі можна модифікувати код таким чином, щоб користувач нічого не помітив і не запідозрив, а його cookies прийшли на вказану адресу.
Для отримання «печива» користувачів, публікуємо наше посилання, наприклад, в соц. мережі Вконтакті, в коментаріях або відправляємо листи з проханням проголосувати або оцінити роботу. При переході по посиланню ми отримуємо cookies користувачів! :)
Коментар Адміністратора IT-Арена:
Дякуємо Олександру за знайдену XSS вразливість!
Код порталу змінено для уникнення подібних атак. Відповідно Правил IT-Арени, Олекснадру нараховується 20 IT-балів в номінацію XSS, IT-безпека.
