Перечень пунктов для оценки безопасности сайта
Единственное, что объединяет все XSS уязвимости — это то, что они позволяют JavaScript коду существовать где-то во вводе или выводе приложения. Фильтры пытались найти этот код и блокировать его, однако в долгосрочной перспективе это xss атака не сработало. В 2009 году на платформе Twitter произошла серия атак червями, вызванных уязвимостью XSS.
В тюрьму отправились восемь операторов «пуленепробиваемого» немецкого хостинга
А теперь давайте поговорим о самых распространенных уязвимостях, которые могут встретиться вам на пути, и о том, как их искать… Когда я был Manual QA, мне всегда казалось, что искать уязвимости очень трудно, что этим могут заниматься только те люди, которые умеют программировать. Поэтому я выбрал сначала путь автоматизатора, так как зачастую QA развиваются именно в этом направлении. Но после более чем полутора лет в должности автомейшена мне стало скучно… Да-да, стало скучно, так как мне неинтересно было все время писать код и не общаться с командой девелоперов, продактами и другими членами команды, как я делал это, когда был мануальщиком.
Что такое XSS атака (Cross Site Scripting Attacks). Уроки хакинга. Глава 7.
Опасность данной атаки заключается в том, что код действует скрытно, и может быть не замечен владельцем сайта сразу. Данный скрипт используется в целом для взлома сайтов на CMS WordPress и размещению на них вредоносных ссылок. Логин system прописан в скрипте, а пароль генерируется случайно и отправляется вместе со ссылкой на взломанный сайт через php файл log.php на сервер взломщика.
Как предотвратить проблемы с обновлением WP?
Этот код может быть выполнен на компьютере пользователя, который посещает уязвимую страницу, что может привести к краже данных, повреждению системы и прочим проблемам. Зачастую злоумышленников интересуют именно данные клиентов, тогда как сайт компании выполняет роль приманки или чего-то наподобие. Слепая XSS-атака представляет собой разновидность сохраненных или постоянных атак и обычно затрагивает веб-приложения, которые позволяют пользователям хранить данные. Ярким примером является заминированный комментарий, размещенный на публичном форуме, при нажатии на который запускается эксплойт.
- И подобные сервисы существуют в Рунете, позволяющие заработать на рекламе, причём их немало и их число постоянно растёт.
- Однако следует помнить, что безопасность — это непрерывный процесс, требующий постоянного внимания и обновления подходов к защите.
- Пристальное внимание рекомендуется уделять ядру, плагинам, модулям CMS сайта, однако обновлять всё в день их выхода мы бы не рекомендовали.
- Это XSS уязвимость, причём на данном сайте я обнаружил как собственную XSS уязвимость, так и уязвимость в коде Директа.
После нескольких неудачных попыток система начинает подозревать, что это злоумышленник, который пытается подобрать пароль, и принимает соответствующие меры. Внедрение вредоносного кода непосредственно на страницу вашего сайта с целью его последующего запуска другими пользователями, например, администратором. Его работу можно отследить в момент загрузки зараженной страницы — обычно хакер использует скрипты для получения доступа в закрытые разделы сайта и аутентификации от имени пользователя. Cross-Site Scripting уязвимости представляют собой уязвимости в программном обеспечении для интернет (веб приложения и веб системы), т.е. Уязвимости на сайтах, которые могут привести к выполнении заданного нападающим кода в контексте браузера пользователя (атакованного злоумышленником). IDOR-уязвимость возникает в случае, когда любой пользователь может получить доступ к URL-адресам страниц, файлов или директорий, которые не должны быть доступны публично.
Интересно, что с ситуацией сталкивались даже на сайтах, где регистрация вообще не предусмотрена, например, на лендингах и визитках. Появлялись пользователи и на проектах, где регистрация реализована через компонент main.register либо на самописном коде на API-Битрикс, где есть и reCaptcha, и правила валидации, и набор обязательных полей. На самом деле, каждый раз, когда вы видите, что валидация в реальном времени осуществляется в вашем браузере, это должно быть красным флагом, сигнализирующем о необходимости протестировать это поле! Разработчики могут допускать ошибки, не валидируя отправленные значения на предмет вредоносного кода на сервере, потому что надеются, что Javascript-валидация в браузере уже осуществила проверку. Хотя пример Сами был относительно безобидным, использование XSS позволяет красть логины, пароли, банковскую информацию, и так далее.
Каждый год количество кибератак и размеры выплат хакерам рекордно увеличиваются. В 2020 году компании заплатили всего 350 миллионов долларов, в три раза больше, чем в 2019 году. Компания CNA заплатила рекордные 40 миллионов долларов после того, как потеряла контроль над своей базой данных и доступ к сети для топ-менеджеров на две недели.
Вся комичность ситуации в том, что злоумышленникам даже не нужно искать уязвимости безопасности, они и так известны за счет исправления их в следующей версии. К примеру, в версии WordPress 5.8.1 исправили уязвимость межсайтового скриптинга (XSS) в редакторе блоков Gutenberg. Соответственно сайты с более старыми версиями WP уже оказались под угрозой. XSS (англ. Cross-Site Scripting — «межсайтовый скриптинг») — атака не новая, и большая часть программистов с ней знакомы. Хакер использует уязвимость (как правило, это неотфильтрованный пользовательский ввод данных), чтобы разместить вредоносный код.
Или же размещение на подконтрольном сайте (на подконтрольной злоумышленнику странице) кода вызова данной уязвимой страницы – путём указания тегов iframe, frame или img. После того как жертва ничего не подозревая попадёт в ловушку, сработает злоумышленный код и нападающий получит кукис жертвы – с авторизационной информацией. Используя подобную уязвимость на странице рекламного брокера, злоумышленник может атаковать участника системы. Для успешной атаки, участник должен быть загруженным в систему (т.е. должен произвести логин в систему, чтобы в его кукисах сохранилась информация о его авторизации в системе).
Чтобы протестировать и засвидетельствовать это в действии, мы опробовали его на игровом сайте Google XSS, сайте, предназначенном для ознакомления разработчиков с уязвимостями XSS, поощряя их взламывать его. Здесь вмешивается XSS Hunter, бесплатная служба, предназначенная для использования как профессионалами в области безопасности, так и охотниками за ошибками. XSS Hunter отправляет злоумышленнику электронное письмо, уведомляя его о том, что ловушка только что сработала, и что есть более подробные сведения, ожидающие оценки в его панели управления Hunter. Стоит отметить, что статистика может меняться в зависимости от источника, а также не все взломы сайтов регистрируются. Другой тренд, который можно наблюдать, это распространение дипфейков, которые могут использоваться для компрометации живых людей или биометрических систем контроля доступа.
Говоря о самых уязвимых местах сайта, следует понимать, что это довольно обобщенная информация, так как здесь многое зависит от их настройки и уровня защиты. Это лишь несколько примеров проблем, с которыми могут столкнуться сайты в контексте безопасности. Как и у любого другого программного обеспечения, у ваших инструментов разработки рано или поздно истекает срок годности. Мы уже говорили о том, что уязвимости в софте могут появляться на всех этапах создания, от проектирования до конфигурации. Крупные обновления операционных систем и библиотек, часто влекут за собой публикацию об обнаруженных уязвимостях. Разработчики быстро реагируют на такие новости выпуском патчей, в которых исправляют уязвимости.
Забота о безопасности вашего сайта способствует поддержанию доверия клиентов и пользователей. SQL-инъекции exploit уязвимость в веб-приложениях, позволяющая злоумышленникам выполнять произвольные SQL-запросы к базе данных. Это может привести к краже данных, удалению или изменению информации или даже к полному разрушению базы данных. XSS-инъекции возникают, когда вредоносный код встраивается в данные пользователей, которые затем отображаются на веб-странице. Это может позволить злоумышленникам получить доступ к конфиденциальной информации, перехватить сеансы пользователей или даже взять под контроль браузер жертвы.
Если на сайте предусмотрен ввод данных посетителями, то обязательно должна быть валидация и безопасная обработка данных не только со стороны вебсервера, но и со стороны клиента. Например, Коля авторизован на сайте банка, у него есть сессия в куках. На почте он находит письмо со ссылкой, которая на самом деле является фишинговой. Так он попадает на страницу JavaScript, где вызывается form.submit и отправляется форма на сайт, например, mail.com. Этот сайт проверяет куки, видит, что пользователь залогинен и обрабатывает форму. По статистике Sucuri, 50.3% взломанных WP сайтов были устаревшими.