[Owasp-brazilian] XSS é realmente uma vulnerabilidade?

Leonardo Cavallari Militelli leonardocavallari at gmail.com
Thu May 14 17:42:11 EDT 2009


Chegando atrasado para a discussão...

Vetor e Ataque são *praticamente* a mesma coisa, só que tem alguns cenários
que a denominação de vetor fica mais adequada.
Na própria OWASP temos as categorias da imagem do Grossman para modelamento
de ameaças, porém vetor chama-se ataques lá. (
http://www.owasp.org/index.php/Category:OWASP_ASDR_Project).

[]´s
Leo Cavallari


2009/5/14 /* Alberto Fabiano */ <alberto at computer.org>

>   Wagner, confesso que conceitualmente agora este cenário ficou bem mais
> claro para mim. Eu estava interpretando ele de uma forma um "pouco"
> diferente, mas que no final me levava a mesma conclusão prática. Realmente a
> gestão "fraca" ou "falha" da sessão é a vulnerabilidade, ela é o agente que
> proporciona a ação do XSS.
>
>    Wagner, este coelho que você tirou da cartola foi bacana, gostei da
> thread! :-)
>
>    De qualquer forma, a  questão foi:
>
>      "XSS pra mim é um vetor, ele sempre irá ser meio para explorar alguma
> vulnerabilidade. Sem contar que o próprio XSS necessita da interação de um
> outro agente"
>
>    Desta forma, interpretando que este "agente" é uma vulnerabilidade, aqui
> há a citação de no mínimo um par. Mas o tipo de vulnerabilidade que
> proporciona a execução do ataque de XSS é suficiente para oferecer recursos
> para geração de prejuízos, portanto para a ação de um ataque bem sucedido;
> se este for o objetivo.
>
> [ ]s
>
> Alberto Fabiano
>
>
> 2009/5/14 Fernando Cima <fcima at microsoft.com>
>
>> Pois é, o que ele chama de "vetor" pelo menos aqui na Microsoft nós
>> chamamos de "ataque". Tirando este detalhe puramente de nomenclatura acho
>> que estamos de acordo.
>>
>> Abraços,
>>
>> - Fernando Cima
>>
>> -----Original Message-----
>> From: Wagner Elias [mailto:wagner.elias at gmail.com]
>> Sent: quinta-feira, 14 de maio de 2009 15:17
>> To: Fernando Cima
>> Cc: owasp-brazilian at lists.owasp.org
>> Subject: Re: [Owasp-brazilian] XSS é realmente uma vulnerabilidade?
>>
>> Esta imagem (
>> http://2.bp.blogspot.com/_JdybrokZBAk/SejncBzDDAI/AAAAAAAABZ0/dJdN2b0q2Nk/s1600-h/catalyst.png
>> )
>> do Jeremiah Grossman clareia um pouco "as minhas loucuras" sobre XSS.
>>
>> http://jeremiahgrossman.blogspot.com/2009/04/website-threats-and-their-capabilities.html
>>
>> Atenção aos detalhes, agente (usuário que sofrerá o ataque
>> client-side), vetor (XSS), vulnerabilidade (falha na gestão de
>> sessão), que só será explorada se não houver um controle.
>>
>> Abs.
>>
>> 2009/5/14 Fernando Cima <fcima at microsoft.com>:
>> > Oi Wagner,
>> >
>> >> eu não tenho esse diploma, por isso nem respondi naquela thread. :(
>> >
>> > Após três longos anos eu obtive a minha certificação de "ex-CISSP", que
>> me rende US$85 todo ano.
>> >
>> >>Eu usei esta frase: "Ok, se considerarmos que ausência de controle não
>> >>é vulnerabilidade,
>> >>concordo com você."
>> >
>> > Estamos entrando no terreno semantico aqui, mas voce tem razão. XSS não
>> é uma vulnerabilidade, é um ataque. A vulnerabilidade pode ser não fazer
>> input sanitization, não fazer output sanitization, etc.
>> >
>> > Abraços,
>> >
>> > - Fernando Cima
>> >
>>
>>
>>
>> --
>> --------------------------------
>> Wagner Elias
>> http://wagnerelias.com
>>
>> _______________________________________________
>> Owasp-brazilian mailing list
>> Owasp-brazilian at lists.owasp.org
>> https://lists.owasp.org/mailman/listinfo/owasp-brazilian
>>
>
>
> _______________________________________________
> Owasp-brazilian mailing list
> Owasp-brazilian at lists.owasp.org
> https://lists.owasp.org/mailman/listinfo/owasp-brazilian
>
>
-------------- next part --------------
An HTML attachment was scrubbed...
URL: https://lists.owasp.org/pipermail/owasp-brazilian/attachments/20090514/fac0ee31/attachment-0001.html 


More information about the Owasp-brazilian mailing list