hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Cross Site Scripting Attacks

95

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Итоги

XSS-уязвимости являются реальной опасностью для разработчиков сайтов и по-прежнему превалируют на сайтах, зачастую находясь на самом виду. Просто отправив метод Javascript alert, alert(‘test’), вы можете проверить, уязвимо ли поле. Кроме того, вы можете комбинировать это с HTML-инъекцией и отправлять закодированные символы ASCII, чтобы увидеть, был ли отрендерен и интерпретирован текст.

Вот некоторые вещи, которые нужно помнить при поиске XSSуязвимостей:

1.Тестируйте все

Вне зависимости от того, на каком сайте вы находитесь и когда, всегда помните о поиске уязвимостей! Даже не думайте, что этот сайт слишком большой или слишком сложный, чтобы быть уязвимым. Возможности могут смотреть вам в лицо, прося протестировать их, как на wholesale.shopify.com. Stored XSS в Google Tagmanager был результатом обнаружения альтернативного способа добавления тегов на сайт.

1.Уязвимости могут присутствовать в любом значении формы

Например, уязвимость на сайте подарочных карт Shopify стала возможна благодаря изменению названия поля, ассоциированного с загрузкой изображения, а не с самим полем загрузки файла.

1.Всегда используйте HTML-прокси при тестировании

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Cross Site Scripting Attacks

96

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Когда вы пытаетесь отправить вредоносные значения с самого сайта, вы можете столкнуться с ложными срабатываниями, когда Javascript-код сайта подхватывает ваши невалидные значения. Не тратьте свое время. Отправляйте корректные значения через браузер, а затем изменяйте их с помощью прокси на исполняемый Javascript и отправляйте его.

1.XSS-уязвимости возникают во время рендеринга

Поскольку XSS возникает, когда браузеры рендерят текст, убедитесь, что проверили все области сайта, где используются введенные вами значения. Возможно, что добавленный вами Javascript не будет отрендерен незамедлительно, но может оказаться на других страницах. Это непросто, но вы определенно не захотите упустить случаи, когда сайт фильтрует ввод, но не экранирует вывод. Если это формы, поищите способы обойти фильтрацию ввода, разработчики могли полениться и не сделать экранирование отображаемого ввода.

1.Тестируйте неожиданные значения

Не предоставляйте каждый раз ожидаемые типы значений. Когда HTML-эксплоит в Yahoo Mail был обнаружен, был передан не ожидаемый атрибут IMG. Думайте нестандартно и учитывайте то, что мог ожидать разработчик, а затем попытайтесь передать что-то, не соответствующее этим ожиданиям. Это включает обнаружение инновационных способов для потенциального выполнения Javascript, таких, как обход события onmousedown на Google Картинках.