Cross-Site-Scripting "Reflected" Beispiele

Um was geht es?

• Reflektiertes Cross-Site-Scripting/XSS

Link

• http://opfer.secure.local/scripts/xss-reflected.php

Eingabe Skript

Normale Verhaltensweise

Einfügen und generieren des Schadcodes

<script>alert("Hacked by Xinux")</script>

Dieses Popup Fenster geht nun auf

• Es wird auf jedem Rechner aufgehen der den generierten Link aufruft

Den generierten Link können wir nun an die Opfer versenden

• http://opfer.secure.local/scripts/xss-reflected.php?name=%3Cscript%3Ealert%28%22Hacked%20by%20Xinux%22%29%3C%2Fscript%3E#

Hier nun der Code zu diesem Beispiel

• Bei diesem Eingabeformular wird der eingegebene Text unterhalb des Eingabefeldes wieder ausgegeben.

<!DOCTYPE html>
 <html>
        <body>
        <h1>Vulnerability: Reflected Cross Site Scripting (XSS)</h1>
                <form name="XSS" action="#" method="GET">
                        <p>
                                What's your name?
                                <input type="text" name="name">
                                <input type="submit" value="Submit">
                        </p>
                </form>
<?php
if( $_GET[ 'name' ] != NULL ) {
    echo 'Hello ' . $_GET[ 'name' ]  ;
}
?>
         </body>
 </html>

Wie können wir so etwas Vermeiden?

• Wir fügen der If Klausel ein weiteres Argument mit, nämlich das die Eingabe nur ausgeführt werden soll, wenn kein "<script" enthalten ist (=== false: "kommt gar nicht vor". Mit !== 0 würde nur blockiert, wenn die Eingabe mit <script beginnt.)

<!DOCTYPE html>
 <html>
        <body>
        <h1>Vulnerability: Reflected Cross Site Scripting (XSS)</h1>
                <form name="XSS" action="#" method="GET">
                        <p>
                                What's your name?
                                <input type="text" name="name">
                                <input type="submit" value="Submit">
                        </p>
                </form>
<?php
if( $_GET[ 'name' ] != NULL && stripos($_GET['name'], "<script") === false ) {
	echo 'Hello ' . $_GET[ 'name' ]  ;
	}
?>
         </body>
 </html>

Warum dieser Filter nicht reicht

• Ein Filter auf einzelne Wörter lässt sich umgehen, zum Beispiel mit einem Bild, das einen Fehler auslöst. Das Beispiel stammt aus den DVWA-Übungen (Stufe High):

<img src=x onerror=alert("xinux")>

• Das Wort "<script" kommt darin nicht vor, der Schadcode läuft trotzdem.

Besser: die Ausgabe absichern

• Alle Eingaben gelten als unsicher. Vor der Ausgabe werden die HTML-Metazeichen durch Zeichenreferenzen ersetzt (aus < wird <). Der Browser zeigt den Text dann an und führt ihn nicht aus.

<?php
if( $_GET[ 'name' ] != NULL ) {
	echo 'Hello ' . htmlspecialchars( $_GET[ 'name' ], ENT_QUOTES, 'UTF-8' );
}
?>

• Animation dazu: Cross-Site-Scripting (einfach)