[Owasp-brazilian] XSS é realmente uma vulnerabilidade?

Thiago Zaninotti thiago at zaninotti.net
Mon May 11 22:09:00 EDT 2009


Wagner,

> eu estou considerando o XSS apenas como vetor pelo simples fato, nem
> sempre um XSS vai resultar na exploração de uma aplicação.
>
> Se a aplicação não tiver nenhuma outra vulnerabilidade, o máximo que o
> explorador vai conseguir é um "alert".
>
> Nos exemplos citados, todos precisam explorar algo (uma falha de
> sessão, uma falha de configuração) se não houver nenhuma
> vulnerabilidade desta, o XSS vai ser só um "alert".

Acho que você está confundindo as bolas :)

- O XSS é uma vulnerabilidade por si só -- uma falha que permite o
acesso arbitrário ao Document Object Model (DOM) de uma página que
está em um domínio de segurança externo e "supostamente" protegido;
- O XSS não precisa de outra vulnerabilidade para ser explorado. Eu
posso injetar um script que vai emular um "formulário de autenticação"
no lugar do formulário correto, permitindo que eu capture as sessões
válidas. Principalmente em aplicações que já adotem práticas razoáveis
de segurança (mas não tenham filtrado XSS);
- Em todos os exemplos citados, o XSS é um vetor de exploração viável
(não precisa de uma falha de sessão nem configuração) -- posso
utilizar o melhor mecanismo de sessão e ter uma entropia razoável --
ainda assim vou ser suscetível aos males do XSS.

Abraços,

Thiago Zaninotti,Security+,CISSP-ISSAP,CISM,CSSLP
Sr. InfoSec Professional


More information about the Owasp-brazilian mailing list