Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
xss
08-09-2012, 18:20 door Anoniem, 7 reacties
Hallo,
Ik heb kennis leren maken met XSS.
Door de script: ''<script>alert("TEST");</script>)'' ergens in te zetten krijg je een msgbox met ''test''
Maar wat is daar zo erg aan? zijn er codes die de pagina bijvoorbeeld kunnen hacken?
Dank voor reacties.
Ik heb kennis leren maken met XSS.
Door de script: ''<script>alert("TEST");</script>)'' ergens in te zetten krijg je een msgbox met ''test''
Maar wat is daar zo erg aan? zijn er codes die de pagina bijvoorbeeld kunnen hacken?
Dank voor reacties.
Reacties (7)
Het is in die zin gevaarlijk omdat je eigen javascript kan uitvoeren van mensen die de pagina bezoeken. Bij reflective xss (Zoals jij hier noemt) moet je iemand op een link laten klikken waar dat op staat (Bijv: http://www.security.nl?q=<script>javascript</script>).
Voor een leek is de website vertrouwd, en de rest achter de url gewoon technisch blabla. Ondertussen wordt er javascript uitgevoerd en wordt het slachtoffer bijvoorbeeld geredirect naar een exploit kit waar hij een mooie infectie krijjgt.
Een persistent XSS is hetzelfde met als verschil dat de XSS code ergens opgeslagen staat, bijvoorbeeld in een commentaar boxje. Je hoeft iemand niet te verleiden ergens op te klikken, men hoeft alleen maar naar de pagina te surfen waar de code staat, wat het weer een stapje gevaarlijker maakt.
Dus ja, in die zin is het best erg, als je weet hoe je het moet gebruiken
Voor een leek is de website vertrouwd, en de rest achter de url gewoon technisch blabla. Ondertussen wordt er javascript uitgevoerd en wordt het slachtoffer bijvoorbeeld geredirect naar een exploit kit waar hij een mooie infectie krijjgt.
Een persistent XSS is hetzelfde met als verschil dat de XSS code ergens opgeslagen staat, bijvoorbeeld in een commentaar boxje. Je hoeft iemand niet te verleiden ergens op te klikken, men hoeft alleen maar naar de pagina te surfen waar de code staat, wat het weer een stapje gevaarlijker maakt.
Dus ja, in die zin is het best erg, als je weet hoe je het moet gebruiken
10-09-2012, 12:31 door
Security Scene Team
Door Anoniem: Hallo,
Ik heb kennis leren maken met XSS.
Door de script: ''alert("TEST");)'' ergens in te zetten krijg je een msgbox met ''test''
Maar wat is daar zo erg aan? zijn er codes die de pagina bijvoorbeeld kunnen hacken?
Dank voor reacties.
Ik heb kennis leren maken met XSS.
Door de script: ''alert("TEST");)'' ergens in te zetten krijg je een msgbox met ''test''
Maar wat is daar zo erg aan? zijn er codes die de pagina bijvoorbeeld kunnen hacken?
Dank voor reacties.
dit is wel de simpelste voorbeeld van "test" die genoemd kan worden. maar buiten dat, word XSS (cross site scripting) gebruikt om sessies, of cookies te stelen.. ook kan er javascript geinjecteerd worden, html flash etc. het is wel eens voorgekomen dat een site gehackt is d.m.v. xss maar tegenwoordig komt dat niet zoveel meer voor. deze aanval word vaker gebruikt in phishing d.m.v. van een zogehete xss link.
de pagina word hoogstends gehackt in combinatie van XSS met een andere aanval.
XSS is bijv ook een hele goeie aanval om het systeem beter te leren kennen die jij wilt hacken.
het is dus niet zo dat; je een 1 of andere nasty code hebt die alle "paginas" kunnen hacken.. je moet nog steeds opzoek gaan naar een XSS vulnerability in een bepaalde webapplicatie. heb je die niet gevonden, kan je zoveel codes proberen als je wilt maar geen kans op success.
Goodluck.
10-09-2012, 12:32 door
[Account Verwijderd]
[Verwijderd]
10-09-2012, 12:55 door
Bitwiper
Aardig filmpje (je zult wel de Engelse taal moeten beheersen): http://www.youtube.com/watch?v=O90lSMmTjjo.
De spreekster is wat nerveus en je moet geduld hebben, maar wat er zo erg is aan ''<script>alert("TEST");</script>)'' komt prima tot uitdrukking.
De spreekster is wat nerveus en je moet geduld hebben, maar wat er zo erg is aan ''<script>alert("TEST");</script>)'' komt prima tot uitdrukking.
Een geïnjecteerd script kan alles wat andere JavaScript-code ook kan, inclusief het stelen van cookies, het posten van berichten en in principe alles wat de website aan mogelijkheden heeft.
10-09-2012, 17:17 door
jasper-koehorst
Sommige nieuwsgroepen bijvoorbeeld zijn bijvoorbeeld gevoelig voor HTML waar het soms niet mag.
Als je daar deze code in zet:
''<META http-equiv="refresh" content="0;URL=http://www.google.com">''
Als je dan op de pagina komt ga je automatisch naar google, stel je voor als google wordt vervangen met een kwaadaardige website...oops!
Nog iets: er is een XSS exploit in Clipster Video Persistent gevonden, bij deze wordt in de username een html code gezet. als je dan op de pagina komt kan er een XSS worden uitgevoerd op de bezoekers
Zie deze exploit op: http://www.exploit-db.com/exploits/21133/
Als je daar deze code in zet:
''<META http-equiv="refresh" content="0;URL=http://www.google.com">''
Als je dan op de pagina komt ga je automatisch naar google, stel je voor als google wordt vervangen met een kwaadaardige website...oops!
Nog iets: er is een XSS exploit in Clipster Video Persistent gevonden, bij deze wordt in de username een html code gezet. als je dan op de pagina komt kan er een XSS worden uitgevoerd op de bezoekers
Zie deze exploit op: http://www.exploit-db.com/exploits/21133/
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
