Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
cross-scripting
17-11-2015, 07:18 door [Account Verwijderd], 3 reacties
Laatst bijgewerkt: 17-11-2015, 15:09
Voorafgaand aan de download van de Microsoft MSRT blokkeerde No-Script 2.6.9.39 een XSS verzoek tussen Microsoft.com en stags.bluekai.com/site/14095 De melding is in het kort: No-script heeft een potentiele 'cross-scripting (XSS)' poging vanaf [https://www.microsoft.com] gefilterd.Technische details zijn opgeslagen in de console. Dit wordt daar dus uitgebreid beschreven. Op verzoek wil ik die hele waslijst vooral code waar ik weinig van begrijp hier wel posten, maar mijn vraag is: hoe kan dit? Wat gaat hier fout en vooral: Zonder de extensie* No-Script zou die poging geslaagd zijn?! Ik snap dat hier heel uitgebreide antwoorden op mogelijk zijn maar dank aan iedereen die hier een licht op kan laten schijnen.
(Gebruikte software:
Windows 8.1, FireFox 42 waarin géén plug-ins geinstalleerd zoals flash,reader, java. Uitsluitend de extensies No-script, Block-site, Add-block plus, Netcraft anti-phishing toolbar en HTTPS-everywhere.)
*bewerking. Hier stond 'plug-in'
(Gebruikte software:
Windows 8.1, FireFox 42 waarin géén plug-ins geinstalleerd zoals flash,reader, java. Uitsluitend de extensies No-script, Block-site, Add-block plus, Netcraft anti-phishing toolbar en HTTPS-everywhere.)
*bewerking. Hier stond 'plug-in'
Reacties (3)
Bluekai plaats trackers en als je pech heb kan je ook te maken krijgen met pop-ups, pop-unders en andere ongein. In dat geval moet er volgens mij wel e.e.a lokaal zijn geïnstalleerd (meestal gebundeld met andere software).
Uit je verhaal kan ik echter niet opmaken wat nu precies the XSS-melding veroorzaakte; het is mij niet duidelijk wat je precies bedoeld met 'voorafgaand aan de download'. Welke handeling op welke pagina veroorzaakte de XSS-melding?
De downloadpagina van de MSRT is: https://www.microsoft.com/en-us/download/malicious-software-removal-tool-details.aspx en de downloadlocatie (dit is dus de downloadlink) is: https://www.microsoft.com/en-us/download/confirmation.aspx?id=16. Geen van beide locaties geven bij mij een XSS-melding.
Ik zie op de downloadpagina een aantal trackers actief w.o bkrtx.com. Heb je deze misschien per ongeluk toegestaan in NoScript?
Uit je verhaal kan ik echter niet opmaken wat nu precies the XSS-melding veroorzaakte; het is mij niet duidelijk wat je precies bedoeld met 'voorafgaand aan de download'. Welke handeling op welke pagina veroorzaakte de XSS-melding?
De downloadpagina van de MSRT is: https://www.microsoft.com/en-us/download/malicious-software-removal-tool-details.aspx en de downloadlocatie (dit is dus de downloadlink) is: https://www.microsoft.com/en-us/download/confirmation.aspx?id=16. Geen van beide locaties geven bij mij een XSS-melding.
Ik zie op de downloadpagina een aantal trackers actief w.o bkrtx.com. Heb je deze misschien per ongeluk toegestaan in NoScript?
Door choi: Bluekai plaats trackers en als je pech heb kan je ook te maken krijgen met pop-ups, pop-unders en andere ongein. In dat geval moet er volgens mij wel e.e.a lokaal zijn geïnstalleerd (meestal gebundeld met andere software).
Uit je verhaal kan ik echter niet opmaken wat nu precies the XSS-melding veroorzaakte; het is mij niet duidelijk wat je precies bedoeld met 'voorafgaand aan de download'. Welke handeling op welke pagina veroorzaakte de XSS-melding?
De downloadpagina van de MSRT is: https://www.microsoft.com/en-us/download/malicious-software-removal-tool-details.aspx en de downloadlocatie (dit is dus de downloadlink) is: https://www.microsoft.com/en-us/download/confirmation.aspx?id=16. Geen van beide locaties geven bij mij een XSS=melding.
Ik zie op de downloadpagina een aantal trackers actief w.o bkrtx.com. Heb je deze misschien per ongeluk toegestaan in NoScript?
Uit je verhaal kan ik echter niet opmaken wat nu precies the XSS-melding veroorzaakte; het is mij niet duidelijk wat je precies bedoeld met 'voorafgaand aan de download'. Welke handeling op welke pagina veroorzaakte de XSS-melding?
De downloadpagina van de MSRT is: https://www.microsoft.com/en-us/download/malicious-software-removal-tool-details.aspx en de downloadlocatie (dit is dus de downloadlink) is: https://www.microsoft.com/en-us/download/confirmation.aspx?id=16. Geen van beide locaties geven bij mij een XSS=melding.
Ik zie op de downloadpagina een aantal trackers actief w.o bkrtx.com. Heb je deze misschien per ongeluk toegestaan in NoScript?
choi,
Dank voor de reactie, en je sloeg de spijker op zijn kop! (jouw laatste opmerking in vette letters) Ik had inderdaad bkrtx.com toegestaan. Na het verbieden is de xss waarschuwing weg.
Opnieuw is dit voor mij het signaal dat het beheren van No-Script aandacht vergt maar het maakt het gebruik van internet zoveel veiliger!
Da's mooi.
Het is me echter niet gelukt om de XSS-melding te reproduceren, ook niet met NoScript en uBlock uitgeschakeld.
De XSS-melding op de MS-site wordt waarschijnlijk veroorzaakt door het aanroepen van https://tags.bkrtx.com/js/bk-coretag.js en deze wordt nl. ook zonder NoScript netjes geblokkeerd door het Disconnect malvertising filter (in uBlock).
Het is me echter niet gelukt om de XSS-melding te reproduceren, ook niet met NoScript en uBlock uitgeschakeld.
De XSS-melding op de MS-site wordt waarschijnlijk veroorzaakt door het aanroepen van https://tags.bkrtx.com/js/bk-coretag.js en deze wordt nl. ook zonder NoScript netjes geblokkeerd door het Disconnect malvertising filter (in uBlock).
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
