Guide complet des scripts intersites XSS

 Guide complet des scripts intersites XSS

PAR MUBI

Le cross site scripting, communément appelé XSS, est une vulnérabilité très simple trouvée dans les applications Web. XSS permet à l'attaquant d'exécuter un code malveillant sur le site Web. Ici, je partage le guide complet des scripts intersites XSS. Il existe quelques types d'attaques XSS, je vais écrire sur les trois principales d'entre elles. La vulnérabilité XSS permet à l'attaquant d'injecter du code dans les applications Web concernées afin de contourner l'accès sécurisé au site Web ou de piéger les informations de l'utilisateur et le vol de cookies. Cette technique peut être utilisée à de nombreuses fins, comme le vol de cookies, le piratage de sites Web, la manipulation de l’utilisateur et bien d’autres choses avec lesquelles les attaquants peuvent jouer.

GUIDE COMPLET DU SCRIPT XSS CROSS SITE

Il existe 3 principaux types de scripts intersites XSS, communément appelés :

Attaque XSS non persistante

Attaque XSS persistante

Attaque XSS basée sur DOM

ATTAQUE XSS NON PERSISTANTE

Les XSS non persistants sont en fait les vulnérabilités les plus courantes que l’on peut trouver sur Internet et utilisées à des fins de piratage. Il est communément appelé « non persistant » car il fonctionne sur une réponse HTTP immédiate du site Web de la victime. Il apparaît lorsque la page Web récupère les données fournies par le client de l’attaquant pour générer automatiquement une page de résultats pour les attaquants eux-mêmes. En s'appuyant sur cela, l'attaquant pourrait fournir du code malveillant et essayer de le faire exécuter par le serveur afin d'obtenir un résultat.

Application la plus courante de ce type de vulnérabilité dans le champ de recherche d'un site Web, l'attaquant écrit du code HTML arbitraire dans le champ de recherche et, si le site Web est vulnérable, la page de résultats renverra le résultat de ces entités HTML.

ATTAQUE XSS PERSISTANTE

Les vulnérabilités XSS persistantes sont similaires aux vulnérabilités XSS non persistantes, car les deux fonctionnent sur un site victime et tentent de voler les informations de l'utilisateur. La seule différence entre les deux est que sur les sites Web vulnérables au Persistent XSS, l'attaquant n'a pas besoin de fournir l'URL spécialement conçue aux utilisateurs, car le site Web lui-même permet aux utilisateurs de saisir des données fixes dans le système, comme des zones de commentaires. Habituellement, les utilisateurs utilisent ce type d'outil pour laisser des messages au propriétaire du site Web et, à première vue, cela ne semble pas dangereux, mais si un attaquant découvre que le système est vulnérable, il peut insérer du code malveillant dans son message et le laisser TOUS les visiteurs en sont victimes.

Cela fonctionne lorsque la technique fonctionne lorsque le système que nous avons utilisé pour cette attaque ne vérifie pas le contenu du message inséré : il insère simplement les données fournies par l'utilisateur dans la page de résultats.

ATTAQUE XSS BASÉE SUR DOM

Les DOM-Based Cross-Site Scripting permettent à un attaquant de travailler non pas sur un site web victime mais sur une machine locale de la victime : les différents systèmes d'exploitation incluent généralement « depuis leur naissance » des pages HTML créées dans des buts différents, mais à condition que les humains faites des erreurs, ces pages HTML peuvent souvent être exploitées en raison de vulnérabilités du code.

Le XSS basé sur DOM exploite ces problèmes sur les machines locales des utilisateurs de la manière suivante :

– L’attaquant crée un site Web malveillant bien construit

– L’utilisateur ingénieux ouvre ce site

– L’utilisateur dispose d’une page vulnérable sur sa machine

– Le site Web de l’attaquant envoie des commandes à la page HTML vulnérable

– La page locale vulnérable exécute ces commandes avec les privilèges de l’utilisateur sur cette machine.

– L’attaquant prend facilement le contrôle de l’ordinateur de la victime.

Il s'agit du seul guide complet sur les scripts intersites XSS. Cela ne correspond à aucune sorte de démonstration d’attaque. Vous pouvez suivre les méthodes de piratage XSS et comment pirater avec XSS dans cet article.https://www.ethicalhackingtutorials.com/2017/09/27/how-to-hack-with-xss/

REF.: https://homesforhackers.com/complete-guide-to-xss-cross-site-scripting/?mc_cid=fce113b371&mc_eid=0336783b81

Cloudflare fait appel au service CDN pour masquer les véritables lieux d'hébergement de ces «mauvais acteurs» ....Hackers :

 

Cloudflare fait  appel au service CDN pour masquer les véritables lieux d'hébergement de ces «mauvais acteurs» ....Hackers :

 Des assignations à comparaître ciblant plus de 35 000 noms de domaine de clients Cloudflare en six mois,du déja vu ;-) 

 

Alors beaucoup de nerds emploi d'autres outils pour y parvenir,comme:

 https://www.robtex.com/

 https://urlscan.io/

 https://ipsnoop.com/34.147.109.202 (exemple)

Ces outils vont vous révéler sur quel sites le hackers a enregistrés son site web frauduleux, souvent le site disparaît assez vites  ;-)

 

 Cloudflare ne supprime rien en réponse aux avis de retrait DMCA, à moins qu'il ne stocke le contenu de manière permanente sur son réseau. 

Cependant, la société remettra les données personnelles des clients aux titulaires de droits d'auteur qui obtiennent une citation à comparaître DMCA. Au cours du premier semestre 2021, des citations à comparaître civiles ont ciblé des centaines de clients liés à plus de 35 000 domaines. 

 logo cloudflare

 Service de protection CDN et DDoS populaire Cloudflare a subi de nombreuses pressions de la part des titulaires de droits d'auteur ces dernières années. L'entreprise propose ses services à des millions de sites. Cela inclut les multinationales, les gouvernements, mais aussi certains des principaux sites pirates au monde. Tous les titulaires de droits ne sont pas satisfaits de ce dernier.

 Certains ont accusé Cloudflare de faciliter la violation du droit d'auteur en continuant à fournir l'accès à ces plateformes. Dans le même temps, ils font appel au service CDN pour masquer les véritables lieux d'hébergement de ces «mauvais acteurs». Cloudflare voit les choses différemment. 

L'entreprise se positionne comme un fournisseur de services neutre qui n'héberge aucun contenu illicite. Ils ne font que transmettre des informations qui sont temporairement mises en cache sur ses services.(souvent des faussetés). 

Demandes de suppression et de blocage

 Auparavant, les tribunaux avaient ordonné à Cloudflare de bloquer des sites spécifiques, mais aucune nouvelle ordonnance n'est intervenue au cours du premier semestre de l'année dernière(sinon Cloudflare serait en faillite car il coopère aux piéage des hackers avec les services de l'états,un Honeypot légal ). La société a répondu à plusieurs demandes de retrait DMCA. Dans ces cas, le contenu signalé est stocké sur le réseau de Cloudflare. Ces demandes régulières de retrait DMCA ont ciblé 32 comptes et 367 noms de domaine au cours de la période de référence. Il s'agit d'une augmentation significative par rapport à l'année précédente où 4 comptes et 4 noms de domaine avaient été impactés. Domaines ciblés par des avis DMCA réguliers dmca Outre les problèmes de droits d'auteur, Cloudflare répond également à d'autres demandes d'application, notamment les ordres de piégeage et de commerce et les mandats de perquisition(c'est là où est situé la cryptomonnaie,les attaques XSS,les malwares,etc...). Ceux-ci ont également augmenté au fil des ans. 

Ces augmentations ne sont pas vraiment inattendues car Cloudflare a considérablement développé son activité, explique la société. « Bien qu'il y ait eu une augmentation constante du nombre de demandes d'application de la loi depuis notre premier rapport de transparence en 2013, cela est dû en partie à l'augmentation exponentielle du nombre de domaines clients Cloudflare au cours de cette période. » 

Une copie du rapport de transparence complet de Cloudflare est disponible sur le site officiel de la société.(mais c'est seulement du papier sans volonté)

 

Nota: Un CDN c'est, un réseau de diffusion de contenu (RDC) ou en anglais content delivery network (CDN) est constitué d’ordinateurs reliés en réseau à travers Internet et qui coopèrent afin de mettre à disposition du contenu ou des données à des utilisateurs.

Ce réseau est constitué :

• de serveurs d'origine, d'où les contenus sont « injectés » dans le RDC pour y être répliqués ;
• de serveurs périphériques, typiquement déployés à plusieurs endroits géographiquement distincts, où les contenus des serveurs d'origine sont répliqués ;
• d'un mécanisme de routage permettant à une requête utilisateur sur un contenu d'être servie par le serveur le « plus proche », dans le but d’optimiser le mécanisme de transmission / livraison.

Les serveurs (ou nœuds) sont généralement connectés à Internet à travers différentes dorsales Internet.

L’optimisation peut se traduire par la réduction des coûts de bande passante, l’amélioration de l’expérience utilisateur (réduction de la latence), voire les deux.

Le nombre de nœuds et de serveurs qui constituent un RDC varie selon les choix d’architecture, certains pouvant atteindre plusieurs milliers de nœuds et des dizaines de milliers de serveurs.

REF.:   https://torrentfreak.com/subpoenas-targeted-over-35000-cloudflare-customer-domain-names-in-six-months-220109/

Comment une attaque XSS est-elle exécutée ?

 

 Comment une attaque XSS est-elle exécutée ?

 Voici un scénario, disons que vous êtes un utilisateur sur un site Web de médias sociaux populaire. Sur ce site Web, sous « mon compte ».. il y a un formulaire Web qui peut changer votre adresse e-mail et votre mot de passe. 

Si vous êtes toujours connecté à ce site Web (comme la plupart des gens le sont sur SM), et que ce site Web n'a aucune protection CSRF, vous êtes vulnérable.

 En tant qu'attaquant, je pourrais dupliquer ce formulaire (je suis également un utilisateur du site, j'y ai donc accès). Je copie ce formulaire sur mon propre site Web et remplis automatiquement un e-mail et un mot de passe à envoyer.

 Je vous envoie ensuite un lien vers lequel, lorsque vous cliquez pour accéder à mon «faux» site Web, ce site Web enverra automatiquement le formulaire que j'ai copié et vous renverra « retour » au site Web de réseau social d'origine. 

Votre e-mail et le mot de passe est maintenant remplacé par ce que je l'ai défini.

 Il y a beaucoup plus derrière cela, mais c'est la façon simple de l'expliquer. 

 Une autre façon est, pour moi, de vous demander de saisir du JavaScript dans votre console, qui fera également ce que je viens de décrire ci-dessus (remplissage automatique des formulaires).

 

Alors l'extention de fureteur NoScript est pratique contre cela. D'autres rajouteront Browser guard malwarebyte,cookies auto-delete,et même adBlocker ultimate pour armer votre navigateur ferait l'affaire.

 

REF.: Quora.com