XSS इल्ली: कौन कम है?

मैं दूसरे दिन एक प्रतियोगिता के बारे में खबरें लेकर आया था जिसमें वे एक न्यूनतम जावास्क्रिप्ट-कोड बनाने का प्रस्ताव रखते हैं जो खुद को आगे कॉपी करेगा। प्रतियोगिता के लेखक रॉबर्ट हैनसेन उर्फ ​​RSnake , सूचना सुरक्षा में काफी बड़े विशेषज्ञ हैं।

स्थिति

प्रतियोगिता की शर्तों के तहत, कोड की आवश्यकता थी:

1. UTF-8 या ISO-8859-1 एन्कोडिंग में होना चाहिए।
2. POST अनुरोध को उसी डोमेन के पोस्ट. post.php
   
   
   
   पृष्ठ पर स्वयं से कॉपी करना होगा जहाँ से यह शुरू हो रहा है (कोई GETs नहीं)। पाठ पैरामीटर content
   
   
   
   होना चाहिए। यह माना जा सकता है कि post.php
   
   
   
   आपके कोड को उचित रूप से post.php
   
   
   
   देगा।
3. वितरण के दौरान इसका आकार नहीं बढ़ना चाहिए (यदि कोड n बाइट्स से शुरू होता है, तो इसे अगले चरण में n + x तक नहीं बढ़ाना चाहिए)। यानी हम मानते हैं कि यदि पोस्ट n बाइट्स से अधिक है तो सामग्री को पोस्ट स्क्रिप्ट द्वारा अनदेखा कर दिया जाएगा।
4. लिखित रूप में शुरू होना चाहिए (हम बाद में संबंधित इंजेक्शन के लिए अन्य सभी मापदंडों को जोड़ सकते हैं)
5. क्वेरी स्ट्रिंग के कुकीज़ या जीईटी मापदंडों का उपयोग नहीं करना चाहिए (कोड की सभी पंक्तियां केवल पृष्ठ पर ही सक्रिय एक्सएसएस के रूप में रहेंगी)।
6. इसे DOM ट्री के बारे में कोई जानकारी नहीं माननी चाहिए, हालाँकि आप वर्म कोड में होने पर class
   
   
   
   या id
   
   
   
   उपयोग कर सकते हैं। आप पृष्ठ पर nth स्क्रिप्ट की खोज का उपयोग नहीं कर सकते, क्योंकि यह जानकारी साइट से साइट पर भिन्न हो सकती है।
7. यह काम करना चाहिए, कम से कम Internet Explorer 7.0 और Firefox 2.x में।
8. पृष्ठ पर संदेश के रूप में XSS का उत्पादन करना चाहिए ("पेलोड" के रूप में)।
9. यह कम से कम अपाचे 1.3+ और अपाचे 2+ सर्वरों पर काम करना चाहिए (यानी, अन्य सर्वरों से संबंधित किसी भी सर्वर-निर्भर चीजों का उपयोग नहीं करते हैं) उनके बाजार प्रभुत्व के कारण।
10. यह उपयोगकर्ता की भागीदारी के बिना या प्रत्येक पृष्ठ पर होने वाली न्यूनतम भागीदारी के साथ काम करना चाहिए (उदाहरण के लिए, पृष्ठ पर एक मनमाना स्थान में mouseover
    
    
    
    )।

बाहर ले जाना

प्रतियोगिता 4 जनवरी से शुरू हुई और 10. समाप्त हुई। लेखक को कई सौ विकल्प मिले, लेकिन उनमें से केवल दो ही न्यूनतम थे और सभी उल्लिखित शर्तों के तहत काम किया गया:



<form><input name="content"><img src="" onerror="with(parentNode)alert('XSS',submit(content.value='<form>'+

innerHTML.slice(action=(method='post')+'.php',155)))">







और



<form><INPUT name="content"><IMG src="" onerror="with(parentNode)submit(action=(method='post')+'.php',content.value=

'<form>'+innerHTML.slice(alert('XSS'),155))">







कीड़े की लंबाई: 161 बाइट्स । जैसा कि आप कोड से देख सकते हैं, विकल्प बहुत समान हैं, अगर नहीं कहना है, समान, लगभग प्रतीकात्मक रूप से। प्रतियोगिता पर पूर्ण निष्कर्ष ।

परिणाम

परिणामों के आधार पर, RSnake ने एक छोटा नोट प्रकाशित किया जिसमें वह संक्षेप में बताने की कोशिश करता है कि इस तरह के कृमियों से कैसे बचाव किया जाए (आखिरकार, सबसे प्रभावी तरीके से काम करने के लिए न्यूनतम कोड में कुछ सामान्य हस्ताक्षर होंगे)।



लेखक ने सामान्य रूप से XSS कीड़े की समस्या के लिए समर्पित एक बड़ा लेख भी प्रकाशित किया, जिसमें वह दावा करता है कि उनसे लड़ना बहुत मुश्किल है, लेकिन यह संभव है। लेख कुछ लंबा है, लेकिन बहुत दिलचस्प है।

संबंधित लिंक

• RSnake उर्फ ​​रॉबर्ट हैनसेन
• सबसे छोटे XSS वर्म के लिए प्रतियोगिता की शर्तें
• प्रतियोगिता के परिणाम
• लघु कृमि परिणाम
• XSS कीड़े: विश्लेषण और संरक्षण

आपका ध्यान देने के लिए धन्यवाद। मुझे टिप्पणी करने में खुशी होगी।



वेब ऑप्टिमाइज़र: लोडिंग साइटों की गति की जाँच करना