[Owasp-brazilian] XSS é realmente uma vulnerabilidade?

/* Alberto Fabiano */ alberto at computer.org
Thu May 14 15:15:32 EDT 2009


  Wagner, confesso que conceitualmente agora este cenário ficou bem mais
claro para mim. Eu estava interpretando ele de uma forma um "pouco"
diferente, mas que no final me levava a mesma conclusão prática. Realmente a
gestão "fraca" ou "falha" da sessão é a vulnerabilidade, ela é o agente que
proporciona a ação do XSS.

   Wagner, este coelho que você tirou da cartola foi bacana, gostei da
thread! :-)

   De qualquer forma, a  questão foi:

     "XSS pra mim é um vetor, ele sempre irá ser meio para explorar alguma
vulnerabilidade. Sem contar que o próprio XSS necessita da interação de um
outro agente"

   Desta forma, interpretando que este "agente" é uma vulnerabilidade, aqui
há a citação de no mínimo um par. Mas o tipo de vulnerabilidade que
proporciona a execução do ataque de XSS é suficiente para oferecer recursos
para geração de prejuízos, portanto para a ação de um ataque bem sucedido;
se este for o objetivo.

[ ]s

Alberto Fabiano

2009/5/14 Fernando Cima <fcima at microsoft.com>

> Pois é, o que ele chama de "vetor" pelo menos aqui na Microsoft nós
> chamamos de "ataque". Tirando este detalhe puramente de nomenclatura acho
> que estamos de acordo.
>
> Abraços,
>
> - Fernando Cima
>
> -----Original Message-----
> From: Wagner Elias [mailto:wagner.elias at gmail.com]
> Sent: quinta-feira, 14 de maio de 2009 15:17
> To: Fernando Cima
> Cc: owasp-brazilian at lists.owasp.org
> Subject: Re: [Owasp-brazilian] XSS é realmente uma vulnerabilidade?
>
> Esta imagem (
> http://2.bp.blogspot.com/_JdybrokZBAk/SejncBzDDAI/AAAAAAAABZ0/dJdN2b0q2Nk/s1600-h/catalyst.png
> )
> do Jeremiah Grossman clareia um pouco "as minhas loucuras" sobre XSS.
>
> http://jeremiahgrossman.blogspot.com/2009/04/website-threats-and-their-capabilities.html
>
> Atenção aos detalhes, agente (usuário que sofrerá o ataque
> client-side), vetor (XSS), vulnerabilidade (falha na gestão de
> sessão), que só será explorada se não houver um controle.
>
> Abs.
>
> 2009/5/14 Fernando Cima <fcima at microsoft.com>:
> > Oi Wagner,
> >
> >> eu não tenho esse diploma, por isso nem respondi naquela thread. :(
> >
> > Após três longos anos eu obtive a minha certificação de "ex-CISSP", que
> me rende US$85 todo ano.
> >
> >>Eu usei esta frase: "Ok, se considerarmos que ausência de controle não
> >>é vulnerabilidade,
> >>concordo com você."
> >
> > Estamos entrando no terreno semantico aqui, mas voce tem razão. XSS não é
> uma vulnerabilidade, é um ataque. A vulnerabilidade pode ser não fazer input
> sanitization, não fazer output sanitization, etc.
> >
> > Abraços,
> >
> > - Fernando Cima
> >
>
>
>
> --
> --------------------------------
> Wagner Elias
> http://wagnerelias.com
>
> _______________________________________________
> Owasp-brazilian mailing list
> Owasp-brazilian at lists.owasp.org
> https://lists.owasp.org/mailman/listinfo/owasp-brazilian
>
-------------- next part --------------
An HTML attachment was scrubbed...
URL: https://lists.owasp.org/pipermail/owasp-brazilian/attachments/20090514/21c596a5/attachment.html 


More information about the Owasp-brazilian mailing list