Mēs esam pakļauti daudziem dažādiem datoru uzbrukumiem, šajā apmācībā mēs runāsim par Vairāku vietņu skriptu (XSS) kiberuzbrukums. Šis uzbrukums sastāv no nevēlama koda ievadīšanas tīmekļa lietojumprogrammās. Tādējādi uzbrucējs var mainīt lietojumprogrammas darbību, kas var sabojāt datus, zaudēt informāciju, liegt pakalpojumu (DoS) utt.
Piemēram, uzbrucējs var likt neaizsargātai tīmekļa lapai novirzīt datplūsmu uz savu, radot sliktas sekas gan lapas īpašniekam, gan lietotājiem.
Kādas sekas tam varētu būt?
Dažādi un nopietni, bet iedomājieties, ka Facebook ir šāda veida ievainojamība, uzbrucējs to izmanto, un sākotnējās lapas viltošana rada šīs lapas klonu, tādējādi atdarinot Facebook. Lietotāji piesakās, un uzbrucējs saglabā savus akreditācijas datus, pēc tam vienkārši novirza tos uz oficiālo lapu, tāpēc lietotājs to reti uzzina.
Kur mēs varam pārbaudīt, vai vietne ir neaizsargāta?
To var izdarīt daudzos veidos, bet visbiežāk tas notiek forumos vai vietās, kur tie pieļauj komentārus pastāvīga uzbrukuma gadījumā, vai vietrāžos URL, ja uzbrukums nav noturīgs.
Kāds ir šīs ievainojamības cēlonis?
Tā kā lapas nav pareizi pārbaudījušas lietotāju ievadītās datu ievades, un arī izvade nav kodēta. Tātad, ja jums ir tīmekļa lapa, vienmēr neuzticaties lietotājiem, kuri apstiprina savus datus, programmēšanas valodas jau nodrošina funkcijas, kas ļauj, piemēram, funkciju strip_tag PHP noņem HTML tagus (bet apskatiet tajā esošos brīdinājumus).
XSS uzbrukumu veidiNepastāvīgs vai spoguļattēlsŠajā uzbrukumā cietušajam tiek nodrošināts manipulēts URL, kurā kā parametrs tiks ievadīts ievadāmais kods.
Pastāvīgs vai tiešs veidsLietotāja ievadītie dati tiks saglabāti serverī, ietekmējot visus lietotājus, kuri izveido savienojumu ar tīmekli.
Mēs redzēsim piemērus tam, kā turpmāk tiks veikts uzbrukums.
PiezīmeApmācības mērķis ir, lai jūs varētu pārbaudīt jūsu izveidotās tīmekļa lietotnes vai to cilvēku lietotājus, kuri jums dod atļauju, nevis veikt ļaunprātīgas darbības.
1. Nepastāvīgs XSS piemērs
Mēs vēlamies novirzīt personu uz lapu, kuru mēs kontrolējam, bet liekot viņam uzskatīt, ka viņa apmeklē sākotnējo lapu, mēs varam nosūtīt viņam e -pastu ar saīsinātu saiti (vai nē), kuras saturs ir šāds:
http://www.paginadeseada.com/?search=Izmantojot šo piemēru, ir skaidrs, cik viegli ir izmantot šāda veida ievainojamību.
2. Pastāvīgs XSS piemērs
Komentārā mēs varam ievietot HTML vai JavaScript kodu, kas tiek saglabāts serverī un ka katru reizi, kad lapa, kurā ir komentārs, tiek ielādēta, tā tiek novirzīta uz mūsu tīmekļa lapu, šajā piemērā var ievietot šādu HTML kodu:
Mēs vēršamies pie cita piemēra nekā tie, kurus esam redzējuši tagad. Tagad mēs redzēsim piemērus, izmantojot DVWA - tīmekļa lietojumprogrammu, kas izstrādāta ar PHP un MySQL. Šī lietojumprogramma jau ir pieejama Metasploitable 2, kuru varat uzstādīt virtuālajā mašīnā.
Tas ļaus mums pārbaudīt dažādus tīmekļa uzbrukumus, un mēs varam mainīt drošības pakāpi (piemēriem, kurus izmantojam zemo), mēs varēsim redzēt arī uzbrukuma PHP kodus, lai jūs varētu redzēt, kas nav izmantot savos kodos.
3. Piemēri XSS atspoguļoja DVWA
Šajā sadaļā mēs redzēsim vairākus piemērus, sāksim. Ja mēs ieliekam normālu nosaukumu, tas pats Pārbaude, lietojumprogramma darbojas labi, apskatīsim attēlu:
PALIELINĀT
Ja kā vārdu ievadām šādu kodu:
PārbaudeMēs redzam, ka nosaukums kļūst treknrakstā (varbūt attēlā tas nav ļoti labi novērtēts):
PALIELINĀT
Un, ja mēs ievietosim ieguldījumu, vai tas darbosies? Lai to pārbaudītu, mēs ievietojam šādu kodu:
Un mēs redzam nākamajā attēlā, ka tas ir strādājis:
PALIELINĀT
Pāriesim pie XSS Saglabāts (uzglabāts).
4. XSS saglabātie DVWA piemēri
Mēs veiksim vairākus koncepcijas pierādījumus, vispirms darīsim komentārā īsu tekstu, kam pievienots skripts, redzēsim, kas notiks, skripts ir pēc iespējas vienkāršāks, tas ir šāds:
Labdien un uz redzēšanos.
PALIELINĀT
Ievadot to tāpat kā iepriekšējā fotoattēlā, mēs noklikšķinām uz Parakstīt viesu grāmatu, komentārs tiek nosūtīts, nekas dīvains nenotiek, redzama teksta virkne, nav skripta pazīmju, kā mēs varam redzēt zemāk:
PALIELINĀT
Tātad, nekas nav noticis? Nu, pārbaudīsim, atsvaidzināsim lapu, un mēs redzēsim, ka brīdinājums lec:
PALIELINĀT
Varat arī novērtēt, ka komentārā ir tikai sveiki, tāpēc skripts tika ievietots starp tekstu, lai jūs varētu redzēt, ka tas to lasa, tas apstājas brīdinājumā un, noklikšķinot uz Labi, jums būs pārējais teksts un pārējās lapas, kuras trūka (tāpat kā zaļās saites, kas bija zem komentāru daļas).
Tagad mēs komentārā ievietosim veidlapu, jūs redzēsit, ka rakstzīmju skaits, ko var ievadīt, ir ierobežots līdz 50, jo mēs pārbaudīsim komentāra teksta apgabala HTML kodu (ar peles labo pogu noklikšķiniet, Pārbaudīt):
PALIELINĀT
Mēs redzam maksimālais garums = "50", mēs beigās pievienosim vēl 0, paliekot iekšā 500, kā mēs redzam zemāk:
PALIELINĀT
Un tagad mēs komentēsim šādu HTML kodu:
Uzraksti savu vārdu:Mēs redzam, ka viņš to jau pieņem, tāpēc dodam Parakstiet viesu grāmatu un mēs redzam sekojošo:
PALIELINĀT
Veidlapa ir ievietota, kā esam pārbaudījuši. Visbeidzot, ja vēlaties praktizēt ar vidēja līmeņa saglabāto XSS, izmēģiniet šādas darbības:
1. Mainiet maksimālo rakstzīmju skaitu, ko laukā Vārds var pieņemt, tāpat kā mēs to darījām iepriekš.
2. Pievienojiet šādu nosaukumu:
Pārbaude
3. Kā komentāru ievietojiet to, ko vēlaties.
4. Nosūtiet komentāru un atjauniniet ekrānu, jūs redzēsit, ka tas ir saglabāts.
Ja vēlaties noņemt sīkfailu, es mainītu skriptu šādi:
Jūs redzēsit sekojošo:
Tālāk es atstāju saiti uz ietvaru ar nosaukumu XSSer, kas mums palīdzēs atklāt, izmantot un ziņot par XSS ievainojamībām.
Savā lapā tas parādās, kā tas ir instalēts (Kali Linux 2016 tas jau nāk), un lietošanas piemēri.
Mēs esam redzējuši iespējas, kādas uzbrucējam ir, ja tiek parādīta neaizsargāta tīmekļa lapa, izvairīties no šiem uzbrukumiem nav grūtiŠodien jebkurā programmēšanas valodā mums ir funkcijas, kas atvieglo mūsu dzīvi. Ir svarīgi, lai pirms tīmekļa lapas palaišanas jūs pārbaudītu šīs kļūdas, jo tas var sabojāt jūsu biznesu.
Ja vēlaties redzēt apmācību, kurā tiek izmantota šī lietojumprogramma, bet tiek veikti cita veida uzbrukumi: Pārbaude ar DVWA.
Visbeidzot, tiks nodrošināta saite, ja vēlaties redzēt cita veida uzbrukumu, kas arī nodarbojas ar koda ievadīšanu: SQL injekcija.
Vai jums patika šī apmācība un palīdzējāt tai?Jūs varat apbalvot autoru, nospiežot šo pogu, lai sniegtu viņam pozitīvu punktu
