Меню
Главная
Авторизация/Регистрация
 
Главная arrow Информатика arrow Анализ актуальных киберугроз

Алгоритм проведения XSS атак

Фактически, общий алгоритм проведения XSS-атаки состоит из следующих этапов:

1) Поиск уязвимости.

Для этого возможно использовать различные вспомогательные средства, используемые для аудита безопасности или для разработки и отладки определенного функционала сайта.

Многие сайты используют готовые CMS (Content Management System - система управления содержимым) - информационные системы или компьютерная программа для обеспечения и организации совместного процесса создания, редактирования и управления контентом. Это дает злоумышленнику возможность проведения атаки сразу на целую группу сайтов, т.к. если будут найдены уязвимости в одном сайте, то с большой долей вероятности такие же уязвимости имеются и в других сайтах, использующих эту же версию CMS.

Ярким примером подобного варианта является CMS Wordpress или форумы на движке phpBB, fastBB и т.п. Такая же ситуация возникает при нахождении уязвимостей в коде стандартных библиотек фреймфорков. Для отслеживания подобных уязвимостей требуется постоянно поддерживать актуальную стабильную версию (фремфорка или CMS) и следить за возможными выходами патчей и обновлений.

Стоит так же помнить, что уязвимыми являются не только формы, написанные на HTML, но и динамически генерируемые через AJAX, или даже динамическая часть, подгружаемая вместе с CSS. Теоретически, XSS может быть реализован на любом материале, предаваемом сервером на запрос клиента, если сервер использует клиентские данные в качестве фрагментов для своего ответа.

2) Выбор метода передачи информации или воздействия на пользователя через XSS-вектор.

XSS-вектор - специально приготовленный фрагмент кода, который будет выполняться для осуществления атаки. Существует огромное многообразие XSS-векторов, как правило, они специфичны для каждого сайта или движка. Еще одним не маловажным фактором является используемые средства для просмотра страниц на стороне клиента, такие как браузер и различные плагины для него. Это вызвано тем, что многие современные браузеры обладают встроенными механизмами защиты от подобных вредоносных скриптов.

Описание различных векторов и уязвимостей к ним определенных версий браузеров можно легко найти в сети Интернет. Для генерации валидного XSS-вектора следует учитывать множество факторов от контекста выполнения сценария, до различных преобразований, производимых на стороне сервера.

3) Поиск способа распространения XSS-вектора.

Для этого используются различные приемы, от обычной маскировки вредоносных ссылок и кода под важную информацию для пользователей, до методов, используемых в SMM (Social Media Marketing).

К примеру, на портале YouTube.com есть видео где злоумышленник, внедряет XSS-код публикуя сообщение от лица пользователя и дает название ссылке «Do not click on me!», сразу под этим сообщением размещается другое от имени еще одного пользователя, который говорит, что угодно про содержимое в сообщение выше, например, «Классная статья» (тема, ролик, картинка и т.п.) и уже другие пользователи, видя данные сообщения невольно могут посмотреть содержимое из любопытства. Это и приведет к атаке на их компьютер.

Подобных способов распространения можно придумать довольно много.

4) Эксплуатирование полученных данных.

Отметим, что реальная опасность от XSS действительно недооцена и, в первую очередь, это связано с тем, что наиболее широкую известность получили первые XSS-атаки, которые действительно не могли нанести серьезный урон.

Тем не менее, современные методы XSS-атак являются, зачастую, более опасными и достаточно упомянуть урон от первого XSS-червя, запущенного благодаря уязвимостям в публичном блоге «MySpace» и устроившего на нем полноценную DDoS-атаку.

Урон вполне материальный и измеряемый как в денежных знаках, так и годах заключения, грозящих злоумышленнику.

Ниже в таблице 4 представлен алгоритм проведения XSS атак.

Таблица 4 - Алгоритм проведения XSS атак

Алгоритм проведения XSS атак

Поиск уязвимости

Воздействие через XSS-вектор

Способа распространения XSS-вектора

Эксплуатирование полученных данных

Помимо DDoS-атаки, XSS это еще и ущерб имиджу компании-держателя сайта.

Изменение и инъекция текста в html-страницы и рассылка таких XSS-векторов клиентам компании может нанести существенный ущерб.

Не так давно кто-то смог даже внедрить в один из новостных сайтов интервью Билла Гейтса о преимуществах операционных систем Linux по сравнению с Windows, также это является возможностью похищения закрытой информации, что опять же потенциально ведет к значительному экономическому ущербу.

При особой удаче злоумышленника и наличии у клиента уязвимых версий браузера возникает возможность контроля пользовательского браузера для доступа к локальным файлам и прочие угрозы.

 
Если Вы заметили ошибку в тексте выделите слово и нажмите Shift + Enter
< Предыдущая   СОДЕРЖАНИЕ   Следующая >
 
Предметы
Агропромышленность
Банковское дело
БЖД
Бухучет и аудит
География
Документоведение
Естествознание
Журналистика
Информатика
История
Культурология
Литература
Логика
Логистика
Маркетинг
Математика, химия, физика
Медицина
Менеджмент
Недвижимость
Педагогика
Политология
Право
Психология
Религиоведение
Социология
Статистика
Страховое дело
Техника
Товароведение
Туризм
Философия
Финансы
Экология
Экономика
Этика и эстетика
Прочее