Security

[DJ Art]

On Friday 03 December 2004 10:30, William Wallace wrote:

> To "cross site scripting" to psilokatalavainw alla tha ithela tin
> voitheia sas gia na to katalavw plirws. (Plz, oxi links. Apla mia
> perigrafi)

Μιλώντας για XSS (cross site scripting), μιλάμε για web security, όχι 
για system security.

Σε γενικές γραμμές, cross site scripting είναι το εξής:

Όταν ο χρήστης Α (attacker) ενός συστήματος web χρησιμοποιεί κατάλληλα 
το σύστημα αυτό ώστε να ανεβάσει στο σύστημα κώδικα ο οποίος θα κάνει 
attack σε έναν άλλο χρήστη Β του ίδιου συστήματος.

Για παράδειγμα, φαντάσου ένα σύστημα που επιτρέπει input, όπως ένα web 
forum.
Ο χρήστης A που για παράδειγμα δικαιούται στο post του να συμπεριλάβει 
HTML κώδικα, κάνει ένα post σε HTML και μαζί βάζει και κώδικα σε 
Javascript.
Μπαίνει τώρα ο χρήστης Β και διαβάζει το thread όπου έκανε post ο Α. Ο Β 
μόλις εκτέλεσε τον κώδικα του Javascript που έκανε post ο Α.

Ο Javascript κώδικας του Α μπορεί να διαβάζει π.χ. τα cookies του B και 
να τα στέλνει κάπου αλλού στο web από όπου θα τα μαζεύει ο Α. Πολλές 
φορές τα cookies κάνουν store τα passwords, οπότε καταλαβαίνεις.
Και ειδικά αν ο Β είναι ο administrator, τότε κάηκε.

Το θέμα είναι πως για να μιλήσουμε ΣΟΒΑΡΑ για Security δεν γίνεται να μη 
δώσουμε links και resources και να μην ψαχτείς επί μερόνυχτα χωμένος 
στο documentation ;)

Πάρε λοιπόν:

http://www.owasp.org/documentation/topten/a4.html

-- 
Kyritsis Athanasios <djart at linux.gr>
Q: Εθελοντής ή θεατής ?
A: Ιδιοκτήτης! ;-)