Xss Desvendado!

Download Xss Desvendado!

Post on 05-Jul-2015

3.502 views

Category:

Technology

0 download

Embed Size (px)

DESCRIPTION

Keynots da palestra sobre XSS

TRANSCRIPT

  • Ricardo Striquer Soares

    ricardophp@yahoo.com.br

    WB4B Negcios Online

    XSS Desvendado!

  • XSS quer dizer Cross Site Scripting, seu nome

    originalmente era CSS e apesar de ser mais antigo que a

    tecnologia CSS ele muito menos popular, por isto quando

    surgiu a CSS diversos tcnicos de segurana comearam a

    chamar a falha de XSS, graas ao XHTML, linguagem a

    O que XSS

    chamar a falha de XSS, graas ao XHTML, linguagem a

    qual geralmente se encontra a falha.

    O XSS uma das mais populares tcnicas de Injection

    (Em Portugus Injeo, de injetar, ou adicionar) que existe,

    nada mais do que a injeo de cdigos extras, no

    necessariamente danosos, em uma pgina de internet.

  • Freqncia de ocorrencia

    27%

    39%

    9% 9%

    16%

    Cross Site Scripting Credentials Session

    Prediction

    SQL Injection Outros Controles

    insuficientes

    2008 Acumetix Ltd

    http://www.acunetix.com/websitesecurity/cross-site-scripting.htm

  • 1. Alterao do contedo do HTML da pgina;

    2. Apresentao de mensagens (por alerts de

    javascript) incorretas ao usurio final;

    Problemas que acarreta

    3. Roubo de sesso;

    4. Roubo de audiencia;

    5. Ataque de carga ao sistema servidor;

  • - Roubo de identidade;

    - Acesso informaes restritas de grande

    importancia;

    - Ganhar acesso contedo pago;

    - Monitorar habito de navegao dos usurios;

    Utilidades mais comuns de uso

    - Monitorar habito de navegao dos usurios;

    - Alterar funcionalidades bsicas do browser;

    - Defamao publica de um indivduo ou empresa;

    - Danificar aplicaes Web;

    - Proporcionar um DoS ou um DDoS.

  • Vdeo ilustrativo!

  • Diagrama de interoperabilidade

    Cliente Servidor Cliente

    Cenrio 1

    Cliente Servidor Banco Servidor Cliente

    Cenrio 2

  • Executa-se por meio de adio de cdigo XHTML em campos comuns de formulrios ou variveis passadas por GET para funcionalidades como paginao e links, no necessriamente apenas de texto.

    Como executar

    XSS comum Altera o contedo da pgina atual

    XSRFEncaminha o usurio para outra pgina, ou abre pginas externas no site sendo visitado

  • Exemplo prtico

  • - Filtro de palavras no cdigo;

    - Acompanhamento por IDS(Para evitar DoS e DDoS)

    Como se prevenir

    (Para evitar DoS e DDoS)

    - Acompanhamento do Administrador do sistema;

  • $x = "teste, clique aqui";

    echo htmlspecialchars($x);

    Funes: htmlspecialchars

    // Resultado:

    // "teste, clique

    // aqui"

  • $x = "teste, clique aqui";

    echo str_replace("teste, clique aqui"

  • $x = "teste, clique aqui";

    echo strip_tags(

    str_replace("String.fromCharCode", "", $x)

    Funes: strip_tags + str_replace

    str_replace("String.fromCharCode", "", $x)

    );

    // Resultado:

    // "alert((0x0068));"

  • www.programabrasil.orghttp://www.programabrasil.org/?p=83

    OWASPhttps://www.owasp.org/index.php/Cross-site-scripting

    Referencias

    https://www.owasp.org/index.php/Cross-site-scripting

    https://www.owasp.org/index.php/Invoking_untrusted_mobile_code

    Wikipediahttp://en.wikipedia.org/wiki/Cross-site_scripting

    Acunetixhttp://www.acunetix.com/