Самодостатні xss атаки

У цій статті ми опишемо новий вектор XSS атак, який хоч і відноситься до відбитим атакам, але насправді є більш небезпечним, ніж зберігається XSS

Сутність атак міжсайтового скриптинга (XSS) - непроверяемие дані. З цієї точки зору кожен додаток, які виводить вхідні дані є потенційно вразливим і може бути експлуатувати атакуючим для крадіжки ідентифікаторів сесій, примусу користувачів до зловмисних дій, збору важливої ​​інформації і т.д.

XSS атаки можуть бути збереженими і відбитими. Зберігається XSS є більш небезпечним, оскільки дозволяє контролювати жертву більш тривалий час. Відбитий XSS хоча і вважається менш небезпечним, він все ж активно використовується в фішинг атаках.

Назва самодостатній XSS повністю пояснює тип атаки. Ця атака не вимагає наявності XSS уразливості в web додатку. Все, що потрібно для її проведення міститься в одному URL. Після виконання URL ресурс буде автоматично ассемблірован.

Зловмисна посилання повинна починатися з data: протоколу і спеціально сформованої рядки. В сучасних браузерах існує підтримка багатьох протоколів: http. https:, ftp: і about. але протокол data: є самим функціональним, оскільки дозволяє AJAX додатків генерувати PDF, DOC, MP3 і інші формати без потреби в серверній підтримки сценаріїв. Специфікація цього протоколу описана в RFC2397.

Наступний приклад демонструє величезні можливості url схеми data: і пояснює можливу загрозу безпеці. У наступній форе ви зможете згенерувати html код, який може бути відкритий і виконаний:

Це вразливість може бути експлуатувати в Firefox, Opera і можливо інших браузерах. Internet Explorer 6 і 7 не дозволить провести атаку такого типу.