Cross-Site-Scripting "DOM-basiertes" Beispiele

Um was geht es?

• DOM-basiertes Cross-Site-Scripting/XSS

Link

• http://opfer.secure.local/scripts/xss-dom.html

Normale Verhaltensweise

• Über den GET-Parameter default wird der Inhalt dieser Seite generiert
• http://opfer.secure.local/scripts/xss-dom.html?default=Bitte%20auf%20dieser%20Seite%20JavaScript%20ausschalten

Exploit über die URL

• http://opfer.sec-labs.de/scripts/xss-dom.html?default=%3Cscript%3Ealert(%22Hacked%20by%20Xinux%22)%3C/script%3E

HTML Code der Seite

<!DOCTYPE html>
<html>
<body>
<h1>DOM Basiertes Cross Site Scripting (XSS)</h1>
Der Inhalt dieser Seite wird statisch generiert.
<script>
if (document.location.href.indexOf("default=") >= 0) {
        var text = document.location.href.substring(document.location.href.indexOf("default=")+8);
        document.write(decodeURI(text));
}
</script>
</body>
</html>

Wie können wir so etwas Vermeiden?

Auf der Seite des Clients

• JavaScript auf nicht vertrauenswürdigen Seiten abschalten

Auf Seite des Programmierers

• <script>-Tags aus dem Parameter entfernen

<!DOCTYPE html>
<html>
<body>
<h1>DOM Basiertes Cross Site Scripting (XSS)</h1>
Der Inhalt dieser Seite wird statisch generiert.
<script>
if (document.location.href.indexOf("default=") >= 0) {
        var text = document.location.href.substring(document.location.href.indexOf("default=")+8);
        var parsed = decodeURI(text)
        var parsed = parsed.replace("<script>", "Achtung JavaScript Element! ")
        var parsed = parsed.replace("<\/script>", " Achtung JavaScript Element! ")
        document.write(parsed);
}
</script>
</body>
</html>

Warum auch das nicht reicht

• replace("<script>", …) ersetzt nur das erste Vorkommen und unterscheidet Groß- und Kleinschreibung. Andere Wege, Skripte einzuschleusen (zum Beispiel <img src=x onerror=…>), bleiben offen.

Besser: als Text einfügen

• Der Parameter wird nicht als HTML in die Seite geschrieben, sondern als reiner Text:

<script>
if (document.location.href.indexOf("default=") >= 0) {
        var text = document.location.href.substring(document.location.href.indexOf("default=")+8);
        document.getElementById("inhalt").textContent = decodeURI(text);
}
</script>

• Animation dazu: Cross-Site-Scripting (einfach)