Отправлено: 19.05.13 16:46. Заголовок: Тестирование forum.canada.ru

При проверке сайта forum.canada.ru оказалось, что форум осуществляет XSS-атаки на пользователей.

XSS атака является одним из любимейших видов атак у хакеров. В данной статье мы постараемся в доступной форме разъяснить, что эта за вид атак, как они реализуемы, какие у них последствия, и как же от них уберечься.

Аббревиатура XSS расшифровывается как Cross Site Scripting, или «межсайтовый скриптинг». При этом первую букву С заменили на Х вследствие того, что аббревиатура CSS уже занята, обозначает «Каскадные таблицы стилей» и применяется в веб-программировании.

XSS атака – это атака на уязвимость, которая существует на сервере, позволяющая внедрить в генерируемую сервером HTML-страницу некий произвольный код, в котором может быть вообще все что угодно и передавать этот код в качестве значения переменной, фильтрация по которой не работает, то есть сервер не проверяет данную переменную на наличие в ней запрещенных знаков –, <, >, ’, ”. Значение данной переменной передается от генерируемой HTML-страницы на сервер в скрипт, ее вызвавший путем отправки запроса.

А далее начинается самое интересное для хакера. РНР-скрипт в ответ на данный запрос генерирует HTML-страницу, в которой отображаются значения требующихся хакеру переменных, и отправляет данную страницу на браузер хакера.

То есть, говоря проще, XSS атака – это атака с помощью уязвимостей на сервере на компьютеры клиентов.

XSS атака чаще всего используется для кражи Cookies (или куки, как их произносят по-русски). В них хранится информация о сессии пребывания пользователя на сайтах, что и бывает нужным хакерам для перехвата управления личными данными пользователя на сайте в пределах, пока сессия не будет закрыта сервером, на котором размещен сайт. Помимо этого в Cookies хранится зашифрованный пароль, под которым пользователь входит на данный сайт, и при наличии необходимых утилит и желания хакерам не доставляет особого труда расшифровать данный пароль. А чем это чревато, думаю, всем понятно.

Чаще всего, как я упоминал выше, XSS атаки используются для кражи cookies (в народе – куки). В них хранятся сессии пребывания пользователя на том или ином сайте, этим злоумышленник и пользуется. Таким способом можно находится, например, на форуме, под аккаунтом другого человека. Так же cookies содержат зашифрованный пароль к аккаунту пользователя, который “сетевой хулиган” может с легкостью расшифровать и получить постоянный и ничем неограниченный доступ.

Теперь опишем другие возможности XSS атак (конечно при условии их успешного проведения).
Возможно при открытии страницы вызвать открытие большого количества ненужных пользователю окон.
Возможна вообще переадресация на другой сайт (например, на сайт конкурента).
Существует возможность загрузки на компьютер пользователя скрипта с произвольным кодом (даже вредоносного) путем внедрения ссылки на исполняемый скрипт со стороннего сервера.
Зачастую происходит кража личной информации с компьютера пользователя, помимо Cookies в качестве объекта кражи выступает информация о посещенных сайтах, о версии браузера и операционной системе, установленной на компьютере пользователя, да к тому же еще и плюсуется IP-адрес компьютера пользователя.
XSS атака может быть проведена не только через сайт, но и через уязвимости в используемом программном обеспечении (в частности, через браузеры). Поэтому рекомендуем почаще обновлять используемое программное обеспечение.
Также возможно проведение XSS атак через использование SQL-кода.

Как мы видим из всего вышесказанного, возможностей у XSS атак достаточно много. Злоумышленник может овладеть вашей личной информацией вплоть до получения паролей доступа к сайтам, а это очень неприятно. К тому же XSS атака наносит вред исключительно клиентским машинам, оставляя сервер в полностью рабочем состоянии, и у администрации различных серверов порой мало стимулов устанавливать защиту от этого вида атак.

 Отправлено: 19.05.13 17:10. Заголовок: Поэтому после посеще..

Поэтому после посещения forum.canada.ru рекомендуется поменять пароли к электронной почте, социальным сетям и т.д.

 Отправлено: 19.05.13 18:16. Заголовок: Пользователь пишет: ..

Пользователь пишет:

цитата:

Помимо этого в Cookies хранится зашифрованный пароль, под которым пользователь входит на данный сайт, и при наличии необходимых утилит и желания хакерам не доставляет особого труда расшифровать данный пароль.

Пользователь пишет:

цитата:

Злоумышленник может овладеть вашей личной информацией вплоть до получения паролей доступа к сайтам, а это очень неприятно

У блин, проклятый Риддик, теперь я понял, почему ко мне на мыло не доходят письма, которых я так долго жду.

 Отправлено: 19.05.13 18:30. Заголовок: Параноики существуют..

Параноики существуют!

 Отправлено: 19.05.13 19:40. Заголовок: Димыч пишет: Парано..

Димыч пишет:

цитата:

Параноики существуют!

Таки и ридики бритые кроты тоже. Ой-вей, придется обрезать и куки.

 Отправлено: 19.05.13 20:38. Заголовок: Очередной тест на ус..

Очередной тест на устойчивость форумчан.

 Отправлено: 19.05.13 20:51. Заголовок: vadim пишет: Очеред..

vadim пишет:

цитата:

Очередной тест на устойчивость форумчан.

Таки ждать погромов?

 Отправлено: 20.05.13 02:15. Заголовок: Такое действительно ..

Такое действительно может быть или это гон?

 Отправлено: 20.05.13 02:30. Заголовок: Жора знает всё...

Жора знает всё.

 Отправлено: 20.05.13 02:32. Заголовок: Оксана пишет: Такое..

Оксана пишет:

цитата:

Такое действительно может быть или это гон?

Конечно может.случались неоднократно и кражи денег и даже лишения девственности.если нет ни того ни другого,то не страшно

 Отправлено: 20.05.13 02:35. Заголовок: Gustav пишет: Жора ..

Gustav пишет:

цитата:

Жора знает всё.

Слово знает в суждении лишнее

 Отправлено: 20.05.13 05:12. Заголовок: Не, ребята, а правда..

Не, ребята, а правда, есть тут специалисты? А то от Субъекта и Гру любой подлости можно ожидать. Вполне могли прицепить какую-нибудь дрянь.
Вопрос к топикстартеру - как вы определили?

 Отправлено: 20.05.13 05:29. Заголовок: Лисапед пишет: Вопр..

Лисапед пишет:

цитата:

Вопрос к топикстартеру - как вы определили?

Специально завел новый почтовый ящик и обнаружил, что кто-то читает мою почту после посещения canada.ru. Это не обязательно действия администрации. Обратите внимание сколько там спама.

 Отправлено: 20.05.13 06:06. Заголовок: Предыдущий пост не м..

Предыдущий пост не мой. Клон.
Тестирование было проведено с помощью программных средств. Каких именно - это конфиденциальная информация. Совсем необязательно, чтобы хакеры с канада.ру знали подробности.

 Отправлено: 20.05.13 06:09. Заголовок: Ещё информацию о XSS..

Ещё информацию о XSS-атаках можно почерпнуть здесь:

http://www.woweb.ru/publ/59-1-0-408

 Отправлено: 20.05.13 08:18. Заголовок: Пользователь пишет: ..

Пользователь пишет:

цитата:

Предыдущий пост не мой. Клон.

Подтверждаю.

 Отправлено: 20.05.13 08:42. Заголовок: Пользователь пишет: ..

Пользователь пишет:

цитата:

Предыдущий пост не мой. Клон. Тестирование было проведено с помощью программных средств. Каких именно - это конфиденциальная информация. Совсем необязательно, чтобы хакеры с канада.ру знали подробности.

Этот пост тоже не мой. Происки хакеров с канада.ру.

 Отправлено: 20.05.13 10:22. Заголовок: Пользователь пишет: ..

Пользователь пишет:

цитата:

Этот пост тоже не мой.

Само собой. Вы уж сами разберитесь, кто чей клон.

Кто раньше зарегистрируется, тот и будет прав.

 Отправлено: 20.05.13 10:22. Заголовок: Пользователь пишет: ..

Пользователь пишет:

цитата:

Этот пост тоже не мой.

Само собой. Вы уж сами разберитесь, кто чей клон.

Кто раньше зарегистрируется, тот и будет прав.

 Отправлено: 20.05.13 11:01. Заголовок: Надо понимать, что д..

Надо понимать, что два предыдущих поста были от БИРГа и его клона или наоборот. Вы уж сами разберитесь.
Во хакеры канадурские чудят, и сюда проникли.

 Отправлено: 20.05.13 16:04. Заголовок: Я ничего не понимаю ..

Я ничего не понимаю в программировании, но у меня на канадуре постоянно выскакивает "вы забанены" и Антивирусник трещит.