🍹 💮 🕒 असामान्य XSS कमजोरियाँ 🌉 👩‍🏫 🎒

नमस्कार पाठक जी!
यह लेख इस बारे में बात नहीं करेगा कि XSS क्या है और इसके साथ क्या खाया जाता है। हम सभी बड़े चाचा (कुएं, चाची) हैं। यह लेख इस तथ्य के बारे में है कि मनमाना कोड का कार्यान्वयन हमेशा और हर जगह होता है। मैं आपको दिखाऊंगा कि रूस और सीआईएस के सबसे लोकप्रिय सामाजिक नेटवर्क, साथ ही साथ रूसी संघ के राष्ट्रपति की साइट, इस प्रकार के हमलों के लिए असुरक्षित है।
कमजोरियां बंद हो गई हैं और हम शुरू कर सकते हैं।
क्या आप अभी भी अपने ब्राउज़र से फ्लैश ड्राइव चला रहे हैं? फिर हम आपके पास जाते हैं।

VKontakte

एक हल्की रात, एक और कप कॉफी पीने के बाद, मैंने एक्सएसएस कमजोरियों की खोज शुरू करने का फैसला किया। मैंने Google में कुछ इसी तरह से डाला: filetype: php inurl: "*। Php? Search = *" और प्रतिक्रिया में ~ 1,500,000,000 पृष्ठ प्राप्त किए। हर तीसरा कमजोर था ... दुख की बात है।

इसके बारे में नहीं, मेरे अनुरोध को "महान और पराक्रमी" में बदलने के लिए, मुझे swf मिला, जिसने साइट के मूल में GET अनुरोध भेजा।
दो बार सोचने के बिना, मैंने अनुरोध को बदल दिया और फॉर्म का डेटा प्रस्तुत किया: * .swf? [चर] = http: //127.0.0.1/। क्रॉसडोमेन पर 404 त्रुटि देखकर, मैंने शपथ ली, लेकिन GET अनुरोध स्थानीयहोस्ट के पास गया। जल्दी से एक क्रॉसडोमेन फेकिंग, मैंने देखा कि प्यारा अलर्ट ()। और अब थोड़ा और।

crossdomain.xml मैंने सबसे आम लिखा:

<cross-domain-policy> <site-control permitted-cross-domain-policies="master-only"/> <allow-access-from domain="*"/> </cross-domain-policy>

क्रॉसडोमेन के साथ समस्या को हल करने के बाद, मैंने निम्नलिखित चित्र देखा:

इसके बाद, मैंने बॉडी, स्क्रिप्ट टैग को लागू करने की कोशिश की, लेकिन इससे मूड में गिरावट के अलावा कुछ भी नहीं हुआ, और फिर इसने मुझ पर यह आरोप लगाया कि लिंक क्लिक करने योग्य हैं!
नतीजतन, एक, img टैग अभी भी पृष्ठ में एम्बेड किया जा सकता है।

HREF, आपका समय!

खैर, लिंक क्लिक करने योग्य हैं, इसलिए हमें href = "जावास्क्रिप्ट:" या href = "डेटा:" का उपयोग करना चाहिए।
लेकिन डेटा हमारी मदद नहीं करेगा, हमें vk.com पर भी नियंत्रण की आवश्यकता है (हालांकि, शायद, यह window.opener के माध्यम से एक्सेस करना संभव था)।

हमले का प्रदर्शन करने के लिए, मैंने एक नकली VKontakte बनाने का फैसला किया।
कंसोल के लिए एक हाथ पहुंच गया और अब अपलोड किए गए index.html को भूल गए, जैसे कुछ, मेरे अंदर, स्थानांतरित हो गया।
सब के बाद, लिंक की तरह दिखेगा:

 <a href="javascript: (html )">click-click</a>

और अब सबसे बुरी चीज: js में दो प्रकार के उद्धरणों का उपयोग किया जाता है (हर कोई जानता है कि कौन से हैं), कुछ हम पहले से ही उपयोग कर चुके हैं, एक और बना रहा।
लेकिन फिर पाठ डेटा को चर में कैसे रखा जाए?
मान लीजिए कि यह हमारा मैलवेयर है:

 var a="<html><h1>Site.com</h1>\n"+ "<!— -- -->\n"+ "<div id='lga' style='height:231px;margin-top:-22px'>\n"+ "<!— - -->\n"+ "</html>";

Js के दृष्टिकोण से, सब कुछ ठीक है, लेकिन html कसम खाएगा।

 <a href=" javascript: var a="<html><h1>Site.com</h1> <!— -- --> <div id="lga" style='height:231px;margin-top:-22px'> <!— - --> </html>"; ">FAIL</a>

लेकिन यहां आपको एएससीआईआई को याद रखना होगा।
हम ASCII में वर्णों को कूटबद्ध करते हैं और हमारा कोड पूरी तरह से अलग रूप लेता है, ब्राउज़र सिंटैक्स पर शपथ नहीं लेता है और कोड काम करता है (ऐसा मिनी-हैक)।

यह केवल साइट के रूट में crossdomain.xml और हमारे नकली रखने के लिए बना हुआ है।

हम उपयोगकर्ता को हमारे लिंक पर पुनर्निर्देशित करते हैं:

और हम उपयोगकर्ता नाम और पासवर्ड प्राप्त करते हैं:

भेद्यता को ठीक किया गया था, यह मुझे लगता है, .htaccess में कुछ पंक्तियों को जोड़कर, लेकिन भेद्यता अभी भी जीवित है, फ्लैश को ठीक नहीं किया गया था, हालांकि मैंने इसे विघटित कर दिया और fla फ़ाइल भेज दी।

पावेल हम पर नीचे दिखता है, कुछ गलत है ...

और हम सिर्फ एक html पेज बनाते हैं और उसमें एक swf फाइल एम्बेड करते हैं।

Kremlin.ru

Vkontakte की तरह, क्रेमलिन कमजोर था। लेकिन यहां घटनाओं का विकास थोड़ा अलग ढंग से हुआ।

XML बुलशिट

इसलिए, हमारे स्थान पर पहले से ही दो कमजोर फ्लैश ड्राइव थे।
कार्य की योजना VKontakte योजना के समान थी:
SWF -> GET / crossdomain.xml -> GET / file

प्रवेश द्वार पर, उन्होंने xml फ़ाइल के लिए रास्ता पूछा, इसे संसाधित किया और चित्र में xml के साथ डेटा को चिह्नित किया।

नकली xml इस तरह देखा:

एक क्लिक से पहले एक सेकंड ...

और यहाँ वह सपनों के प्रति सचेत है:

दूसरा अलर्ट, फ्लैश ड्राइव नंबर 2:

एक्सएमएल:

आप क्लिक के परिणाम का अनुमान लगा सकते हैं।

दुर्भाग्य

कमजोरियां हमेशा और हर जगह थीं, बस कभी-कभी वे सबसे अप्रत्याशित स्थान पर हो सकते हैं।
मुझे उम्मीद है कि लेख दिलचस्प और उपयोगी था।

Ps मेरी वक्रता के कारण, मैं अब केवल वीडियो जोड़ रहा हूं।

VKontakte:

असामान्य XSS कमजोरियाँ

VKontakte

HREF, आपका समय!

Kremlin.ru

XML बुलशिट

दुर्भाग्य

More articles: