Tag: XSS

Wszystko o CSP 2.0 – Content Security Policy jako uniwersalny strażnik bezpieczeństwa aplikacji webowej

12 kwietnia 2016, 20:25 | Teksty | komentarzy 7
Wszystko o CSP 2.0 – Content Security Policy jako uniwersalny strażnik bezpieczeństwa aplikacji webowej

W 2014 roku na Sekuraku (oraz w pierwszym e-zinie) pisaliśmy czym jest Content Security Policy. Była to wtedy młoda technologia utrudniająca eksploatację ataków XSS. Od tego czasu standard mocno się rozwinął. Czy obecna wersja CSP 2.0 jest remedium na nieznane luki XSS? Na jakie problemy można natknąć się podczas wdrożeń CSP?

Czytaj dalej »

Pozwalasz ładować pliki SVG? Masz XSS-a!

17 sierpnia 2015, 11:05 | Teksty | komentarzy 10
Pozwalasz ładować pliki SVG? Masz XSS-a!

Dodawanie plików przez użytkowników web aplikacji wiąże się z wieloma zagrożeniami. Pentesterzy w tym obszarze często szukają luk prowadzących do zdalnego wykonania kodu po stronie serwera. A co gdyby dodanie nowego pliku skutkowało wykonaniem złośliwego skryptu JS? Taką możliwość dają pliki SVG opisujące grafikę wektorową we współczesnych przeglądarkach.

Czytaj dalej »

Używasz Internet Explorera? Możesz mieć XSS-a w każdej domenie

06 lutego 2015, 15:03 | W biegu | 1 komentarz

Kilka dni temu na liście dyskusyjnej full disclosure został opublikowany błąd pozwalający na wykonanie XSS-a w kontekście dowolnej domeny w najnowszych wersjach Internet Explorera. Odkrywca błędu, David Leo, zgłosił ten błąd do Microsoftu 13 października 2014, jednak błąd nie jest wciąż poprawiony. Oryginalny PoC (proof of concept) nie był zbyt czytelny,…

Czytaj dalej »

XSS w książce… aktywowany on-line

19 stycznia 2015, 16:45 | W biegu | komentarze 3

Nikt nie dziwi się tym, że w wielu książkach o bezpieczeństwie można znaleźć przykłady wykorzystania podatności XSS. Jednak ciekawe jest to, że czasem takiego „papierowego” XSS-a można aktywować on-line: zobaczcie na stronę www.safaribooksonline.com: PS Lepiej nie szukajcie książek o OS Command Exec ;-) –ms

Czytaj dalej »

Gmail i Google+ – czyli opowieść o dwóch XSS-ach

30 kwietnia 2014, 11:03 | Teksty | 1 komentarz
Gmail i Google+ – czyli opowieść o dwóch XSS-ach

Poszukiwanie XSS-ów w ciasteczkach http jest równie uzasadnione, jak w parametrach GET czy POST. Na takie podatności szczególnie narażone są firmy, które korzystają z wielu subdomen do hostowania swoich stron, wówczas XSS z jednej domeny może być eskalowany do innej (potencjalnie o wyższej istotności). Takie poszukiwania to także świetna okazja do rozwinięcia swoich umiejętności.

Czytaj dalej »

Masowy DDoS przez persistent XSS – nowy niespodziewany sposób ataku?

04 kwietnia 2014, 11:54 | W biegu | 1 komentarz

Firma Incapsula poinformowała właśnie o wykryciu nietypowego, ale bardzo niebezpiecznego ataku typu DDoS. Tym razem atak odbywał się w warstwie aplikacyjnej (HTTP) i polegał na wykorzystaniu podatności typu persistent XSS w jednym z najczęściej odwiedzanych serwisów w Internecie. Sam wyżej wspomniany serwis umożliwia hostowanie nagrań video, a także ich komentowanie….

Czytaj dalej »