№8. ScannerBox. Кілька типів виявлення міжсайтових сценаріїв

10 квітня 2023 1 хвилина Автор: Endpool

Міжсайтові сценарії – будьте обережні!

Міжсайтовий сценарій — тип атаки на веб-системи, що полягає у впровадженні у сторінку шкідливого коду, що видається веб-системою (який буде виконаний на комп’ютері користувача при відкритті ним цієї сторінки) і взаємодії цього коду з веб-сервер зловмисника. Є різновидом атаки “Впровадження коду”. Специфіка подібних атак полягає в тому, що шкідливий код може використовувати авторизацію користувача у веб-системі для отримання до неї розширеного доступу. Шкідливий код може бути вставлений до сторінки як через вразливість у веб-сервері, так і через вразливість на комп’ютері користувача.  Довгий час програмісти не приділяли їм належної уваги, вважаючи їх безпечними. Однак це думка помилкова: на сторінці  можуть бути дуже вразливі дані (наприклад, ідентифікатор сесії адміністратора або номери платіжних документів), а там, де немає захисту від CSRF, атакуючий може виконати будь-які дії, доступні користувачеві. Міжсайтовий сценарій можна використовувати для проведення DoS-атаки. Цей код може виконати шкідливі дії, такі як збір конфіденційної інформації, зміна зовнішнього вигляду сторінки, відправка запитів до серверу, що виконують шкідливі дії та інші.

Зловмисник може вставити скрипт в будь-яке місце сторінки, включаючи поля форм, коментарі, URL-адреси. Міжсайтовий сценарій – одна з найбільш поширених уразливостей WordPress з високим ризиком. XSS-атаки настільки поширені, тому що, на відміну від інших уразливостей безпеки, їх дуже важко усунути. Навіть якщо у вас є вбудований захист, дуже легко зробити помилки, які дозволять використовувати міжсайтові сценарії. Тільки одна помилка в HTML або JavaScript вашої веб-сторінки може зробити ваш сайт вразливим для атак із використанням міжсайтових сценаріїв.

Типи виявлення міжсайтових сценаріїв

Shuriken – інструмент командного рядка XSS для тестування списків корисних даних XSS

Shuriken був розроблений Shogun Lab як утиліта командного рядка міжсайтового сценарію (XSS) з відкритим вихідним кодом для допомоги дослідникам веб-безпеки, які хочуть перевірити список корисних навантажень XSS у веб-додатку. Це дозволяє тестувальнику легко змінювати списки корисних навантажень, реєструвати результати та робити знімки екрана успішних корисних навантажень. Його слід використовувати лише для дійсних цілей, які дали згоду на пентестування. Перш ніж використовувати цей інструмент проти веб-програми , переконайтеся, що у вас є дозвіл.

Натиснути тут

XSStrike – Параметри Fuzz і bruteforce для XSS, виявлення та обхід WAF

XSStrike — це набір для виявлення міжсайтових сценаріїв, оснащений чотирма рукописними парсерами, інтелектуальним генератором корисного навантаження, потужним механізмом фаззингу та неймовірно швидким сканером. Замість того, щоб вставляти корисні навантаження та перевіряти їхню роботу, як це роблять усі інші інструменти, XSStrike аналізує відповідь за допомогою кількох синтаксичних аналізаторів, а потім створює корисні навантаження, які гарантовано працюють за допомогою контекстного аналізу, інтегрованого з механізмом фаззингу. Окрім цього, XSStrike також має можливості сканування, фаззингу, виявлення параметрів і виявлення WAF. Він також шукає вразливості DOM XSS.

Натиснути тут

Domdig – Сканер DOM XSS для односторінкових програм

DOMDig — це сканер DOM XSS, який працює у веб-браузері Chromium і може рекурсивно сканувати односторінкові програми (SPA). На відміну від інших сканерів, DOMDig може сканувати будь-яку веб-програму (включно з gmail), відстежуючи модифікації DOM і запити XHR/fetch/websocket, а також може імітувати реальну взаємодію користувача, запускаючи події. Під час цього процесу корисні дані XSS вводяться в поля введення, а їх виконання відстежується, щоб знайти точки ін’єкції та відповідні модифікації URL-адреси. Він заснований на htcrawl , бібліотеці вузлів, достатньо потужній для легкого сканування облікового запису gmail.

Натиснути тут

PwnXSS – Потужний сканер XSS на Python 3.7

PwnXSS — це безкоштовний інструмент із відкритим кодом , який можна знайти на Github. Він спеціально розроблений для пошуку міжсайтових сценаріїв . PwnXSS написано мовою python. У нашій системі Kali Linux має бути встановлено Python 3.7 . Багато веб-сайтів уразливі до міжсайтового сценарію (XSS ). Цей інструмент спрощує процес виявлення міжсайтових сценаріїв . PwnXSS працює як сканер. З мільйонами веб-сайтів і веб-додатків в Інтернеті виникає питання, чи безпечний наш веб-сайт чи ні. Безпека нашого сайту надзвичайно важлива. XSS або міжсайтовий сценарій — це вразливість, яка використовується для злому веб-сайтів. Цей інструмент спрощує виявлення таких вразливостей.

Натиснути тут

Dalfox – інструмент аналізу параметрів і сканування XSS на основі golang

Dalfox — це швидкий сканер аналізу параметрів і міжсайтового сценарію (XSS), заснований на аналізаторі DOM (об’єктної моделі документа). XSS Dalfox має деякі додаткові функції, які перевіряють впровадження SQL (SQLi), серверне впровадження шаблону (SSTI) і відкриті перенаправлення. Dalfox — це інструмент на основі мови Golang. Dalfox також здатний знаходити відображені, збережені та сліпі XSS у цільовій веб-програмі. Основна концепція полягає в аналізі параметрів, пошуку XSS і перевірці їх на основі аналізатора DOM. Ключові особливості: Dalfox виконує аналіз параметрів, щоб знайти відображені параметри. Dalfox знаходить вільних/злих персонажів і визначає точку введення Dalfox виконує статичний аналіз, перевіряє наявність поганих заголовків, таких як CSP, X-Frame Options тощо. Dalfox виконує оптимізаційні запити для корисних навантажень, перевіряє точку впровадження за допомогою абстракції та генерує навантаження.

Натиснути тут

Знайшли помилку?
Якщо ви знайшли помилку, зробіть скріншот і надішліть його боту.