Badass XSS: Esqueça o alert e vá para mundo real

  • 221 views
Uploaded on

Co0L BSidesSP v5 (Mai/2013) …

Co0L BSidesSP v5 (Mai/2013)

Você provavelmente já deve ter cansado de demonstrar XSS com aquela famosa janelinha de alert ou com códigos que não fazem sentido nenhum em ataques reais. Adicione aqui gerentes, diretores e clientes "low tech" que continuam sem entender o problema.

A palestra tem como objetivo trazer a diversão de volta para a exploração das falhas de XSS, mostrando maneiras diferentes de utilizá-las em cenários reais e tornar a demonstração mais interessantes para gerentes e diretores.

Em Janeiro de 2014, a palestra foi apresentada também no I Encontro do Capítulo Rio da OWASP.

More in: Technology
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
No Downloads

Views

Total Views
221
On Slideshare
0
From Embeds
0
Number of Embeds
1

Actions

Shares
Downloads
6
Comments
0
Likes
1

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide

Transcript

  • 1. AVISO PADRÃO O conteúdo aqui apresentado representa minhas próprias conclusões e opiniões e não as de meus empregadores, clientes e etc. Não há intenção de causar nenhum danos a terceiros. A utilização do conteúdo apresentado é fruto de pesquisa e deve ser utilizado apenas em ambientes autorizados.
  • 2. /me = dedo podre para quebrar coisas == alguém que gosta de compartilhar coisas == fã de Danny Trejo != rockstar de SegInfo @0xc0da
  • 3. Premissas Todos sabemos o que é Cross Site Scripting (XSS). Nada de evasão de filtros hoje, galera. Nada de über1337h4x0rninjaskillz. Vamos do jeito “fácil” dessa vez. ;-)
  • 4. Um dia você encontrou um XSS medonho em uma aplicação.
  • 5. E apresentou assim
  • 6. Provavelmente reagiram assim.
  • 7. Vamos nos divertir um pouco mais?
  • 8. I. All your forms are belong to us
  • 9. Então você tem um formulário de login.
  • 10. E um XSS.
  • 11. Por que um alert quando você... Pode redirecionar o formulário?
  • 12. Por que um alert quando você... Pode usar um keylogger?
  • 13. II. Advanced Persistent Threats
  • 14. Um cenário interessante, de um teste real.
  • 15. Informações do cookie eram utilizadas na página.
  • 16. Sem filtro, claro. E havia outra vulnerabilidade, que permitia acessar o cookie.
  • 17. Já mencionei que eu gosto de compartilhar?
  • 18. Por que um alert quando você... Pode compartilhar uma aba?
  • 19. Uma história sobre botões de download.
  • 20. Por que um alert quando você... Pode compartilhar arquivos*? *Krzysztof Kotowicz – Hack In Paris 2012
  • 21. Amarrando tudo*... *Apenas Chrome (até agora)
  • 22. III. Shells e todas aquelas coisas legais
  • 23. Você ainda quer Shell?
  • 24. Sem problemas!
  • 25. Por que um alert quando você... Pode explorar um 0day do JAVA todo mês?
  • 26. Por que um alert quando você... Pode fazer um port scan, usar o navegador como proxy e lançar ataques como o usuário?
  • 27. Ferramentas como BeEF e xssf podem ajudar a manipular o navegador do usuário.
  • 28. IV. Mais algumas dicas
  • 29. Dica #1 Queremos ser o discretos. Deixar o código limpo ajuda, ok?
  • 30. Dica #2 Shell não é tudo. Criar usuários, enviar mensagens e acessar dados também pode ser interessante
  • 31. Dica #3 Não se restrinja a interface web. Mobile Apps também podem ser vetores interessantes de ataque.
  • 32. Obrigado! @0xc0da codalabs.net /0xc0da
  • 33. Agradecimentos especiais Esta palestra não seria possível sem a colaboração de algumas pessoas, em especial minha namorada Renata Senna (design da capa e fundo dos slides), os amigos Vanessa Maia, Sávio Mendes, Alexandre Pinaffi, Alan Markus, Jaime Souza, Tiago Bitarelli Gomes e Eduardo França. Meu muito obrigado também a equipe da Bsides SP pela dedicação e execução do evento.