State X: ¿Qué es un XSS?

jueves, 31 de marzo de 2016

¿Qué es un XSS?

Se que ya hemos hablado mucho de esta vulnerabilidad pero es que hace unos días que me tocó explicarle un Cross-site Scripting a un informático titulado. Se que eso no tiene nada que ver con saber o no de seguridad informática pero creo que estamos obviando lo básico. Así que aquí va.

Estamos hablando de la vulnerabilidad Cross-site Scripting. Esta vulnerabilidad es explotable cuando se envía código malicioso a una aplicación web .

El ataque a esta vulnerabilidad puede darse por dos vectores:

El código puede ser inyectado a la aplicación web a través de una fuente no confiable, que suele ser una petición web.
El código puede ser incluido en el contenido dinámico y luego enviado a un usuario sin ser validado.

Os dejo este enlace por si necesitais más información:

https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Si se está permitiendo la serie de caracteres que os describo mas abajo, en dicha aplicación web, no deberían usarse ya que una de las maneras mas conocidas de explotar esta vulnerabilidad es con el uso de script y parámetros del siguiente estilo:

<body onload=alert('test1')>
<script>alert("TEST");</script>

Caracteres no permitidos:

< --> <
> --> >
" --> "
' --> ' ' not recommended because its not in the HTML spec (See: section 24.4.1) ' is in the XML and XHTML specs.
/ --> / forward slash is included as it helps end an HTML entity

Sed Buenos ;)

State X

Páginas

Este blog ya no está activo, sigue informándote aquí:

jueves, 31 de marzo de 2016

¿Qué es un XSS?

No hay comentarios:

Publicar un comentario