Ocolind javascript filtrează flash! atac

introducere
aplicatii bazate pe web și Cross Site Scripting
Prevenirea atacurilor Cross Site Scripting
Flash! atac
Resurse vulnerabile și exemple de programe
moduri de a preveni
Demo pe eyeonsecurity.org
referințe
mulțumesc

aplicatii bazate pe web și Cross Site Scripting

Prevenirea atacurilor Cross Site Scripting

- Metodele utilizate în prezent

Pentru a asigura securitatea dezvoltatorilor de aplicații web folosesc oricare dintre cele trei abordări pentru a preveni atacurile XSS:

  • A respins toate codurile HTLM introduse de utilizator
  • Permise numai anumite etichete. Acest lucru se realizează, de obicei, prin utilizarea de coduri speciale pe care aplicația înlocuiește etichetele de cod relevante
  • Filtered sau șterse toate script-urile elemente de cod HTML

Există aplicații web care vă permit să publicați animații Flash online, cum ar fi deviantART, sau pur și simplu încărcați Flash pentru stocarea video, cum ar fi site-uri FTP.

Acest document explică cât de ușor este Obote de filtrare din cauza unei erori de proiectare aplicatii web. Acest bug este ca animatii Flash pentru a aplica atât conținutului protejat. Conținutul nu poate conține componentele active.

Flash! atac

Resurse vulnerabile și exemple de programe

Mai jos este o captură de ecran care arată această idee:

deviantART a menționat mai sus permite utilizatorilor să încarce fișiere Flash pentru toate pentru a vedea. Desigur, un atacator poate înregistra un cont nou, plasați un fișier Flash rău intenționat și să profite de conturile altor utilizatori și chiar și un administrator de cont. Nu vom da exemple concrete de atacuri.

forum motoare populare IkonBoard și YaBB [12] sunt deosebit de vulnerabile la acest atac. Aceste forumuri vă permit să utilizați etichete specifice [Flash], convertit aplicația pentru tag-ul corect .

Acest șir este convertit la o aplicație în următorul cod:

moduri de a preveni

Soluție simplă: interzicând introducerea fișierelor Flash pe site.

Cu toate acestea, în cele mai multe cazuri, aceasta nu este atât de simplu. De exemplu, ia în considerare cazul de la deviantART. Pentru această resursă Flash animație este o parte integrantă a conținutului. Ele nu pot pur și simplu refuza să utilizați Flash.

Soluții posibile prin:

Macromedia (dezvoltatorii de Flash Player)

Macromedia și EyeonSecurity au lucrat împreună pentru a găsi soluții pentru dezvoltatori web. Acesta a fost propus pentru a permite designerilor să schimbe ilor internet comportamentul plasat în pagina HTML Flash-conținut. Această soluție este adecvată pentru publicare în forumuri și site-uri similare, dar este conceput pentru a nu deforma / rupe oricare dintre filmele Flash animate existente.

Web-designeri și dezvoltatori web-

Codul din acest exemplu va ocoli orice protecție oferită mai sus, întrucât Nr getURL ( 'Javascipt: oricare ar fi'). În plus, există un alt, probabil, mult mai adecvat, decizia - de a utiliza domenii diferite pentru stocare și afișare Flash-role. Această metodă poate fi utilizată și pentru a pune la dispoziție conținutul activ, precum și în alte documente, cum ar fi fișiere HTML. Acest lucru înseamnă că, dacă securewebapplication.com dvs. de domeniu, ai putea stoca un conținut potențial periculos pe securewebapplication.net. Desigur, acest lucru înseamnă că conținutul nu este de autentificare securewebapplication.net trebuie să fie deservite prin intermediul unor sesiuni, deci este accesibil utilizatorilor anonimi. Este important ca un conținut potențial periculos va fi afișat numai din „domeniul detoxifiat“, ceea ce înseamnă că, în cazul în care documentul Flash este inclus în fișierul HTML, iar fișierul HTML este, de asemenea, să fie afișat din domeniul „neutralizat“.

Demo pe eyeonsecurity.org

Cross-Site Scripting