SS возвращается

Zadoxlik (antichat.ru)

Хакер, номер #092, стр. 092-062-6

Изврат продолжается

Это было классическое применение XSS. Рассмотрим что-то более изощренное.

Без всяких уязвимостей на портале мы всегда можем сделать одну интересную вещь. А именно: поменять все настройки пользователя, которые не требуют пароля. Иногда - это подпись на форуме, ася, статус, емэйл (реже), а иногда даже пароль. Делается это очень просто. В любом веб-приложении есть контрольная панель юзера с формочкой, запрос в которую меняет необходимые настройки. В зависимости от того, понимает скрипт GET-запрос или только POST, мы можем сделать ссылку на свой скрипт редактирования профайла или соответствующую страницу с формой метода пост (как было показано на POST-пассивных XSS), где укажем соответствующие параметры. Единственная проблема - проверка поля Referer (адрес, с которого пришли) HTTP-запроса. Однако давай это оставим за гранью. Таким макаром, например, можно спокойно иметь админ панель форума exBB. Примерно таким же способом осуществляется угон всей почты и установка переадресации на всю входящую на популярнейших российских и буржуйских почтовиках (да-да, это те, о которых вы подумали). Вкратце технологию можно описать так:

1. Пользователь открывает страницу с XSS.

2. XSS подгружает в браузер пользователя (например, с помощью тэга <img>) наш скрипт, передавая ему куки и REFERER (реферера браузер передаст сам).

3. Из реферера скрипт получает номер сессии. На основе этого номера сессии он формирует заголовок переадресации на страницу настроек почтовика (браузер сам перекидывает юзера на эту пагу, получив от нашего скрипта заголовок Location), указывая в параметре «привязать сессию к IP» FALSE.

4. После этого у нашего скрипта развязаны руки, он открывает соединения с сервером и формирует последовательность HTTP-запросов (с использованием полученного номера сессии и кук), с помощью которых сливает всю почту, лежащую на ящике жертвы, и устанавливает переадресацию с сохранением локальной копии на все входящие (делается обычно с помощью фильтров). Этот (или очень на него похожий) сценарий сейчас прокатывает практически везде (не является исключением яндекс, мэил.ру, емэйл.ру, почта.ру, рамблер и все осталеные). Такой скрипт обеспечивает результативную работу с жертвой, даже если авторизация на сервере проходит только по сессии. В терминологии XSS он называется функциональным снифером, про который в журнале писали тоже не раз. Еще одна область применения XSS, как ни странно, - дефейс. Вообще, это используется очень редко. Я не замечал, чтобы это кто-то использовал, поэтому мы рассмотрим примеры из того, что происходило с моим участием. Итак, а что же может сделать JavaScript. Оказывается, он в состоянии переписать тело документа! А это - то, что нам надо. Хотя, что я пытаюсь рассказать, ты же читал про дефейс хакер.ру? Ну вот, это было сделано как раз с помощью замещения новости на главной странице (через SQL-инъекцию) примерно вот таким кодом: