[KacperSzurek]

Jeżeli jesteś programistą to wiesz, że wytłumaczenie technicznych kwestii osobom decyzyjnym bywa trudne.
Jak wytłumaczyć co to jest XSS – czyli wykonanie groźnego kodu JS w obrębie naszej domeny? #od0dopentestera
Jeżeli rozmawiasz z biznesem możesz skupić się na skutkach, jakie niesie tego rodzaju podatność.
Jednym z pomysłów może być opisanie działania XSS worm, który podobnie jak wirus w normalnym świecie próbuje zarazić jak największą liczbę użytkowników.

Jak to działa?
1. Załóżmy, że na FB znajduje się podatność reflected XSS – czyli każda osoba, która kliknie w odpowiednio spreparowany odnośnik, uruchomi na swoim koncie złośliwy kod JS.
2. Jest to groźne – ale tylko dla osoby, która weszła w taki link. Musi on zostać do niej jakoś przesłany (na przykład poprzez czat) a następnie musi w niego kliknąć.
3. Jeżeli jednak mamy do czynienia z robakiem – złośliwy kod pobierze listę wszystkich kontaktów zarażonej osoby i roześle do nich samego siebie (czyli prześle do naszych znajomych złośliwy odnośnik).
4. Jeżeli znajomy kliknie w taki link od nas – zostanie zarażony, a tym samym zacznie zarażać innych.
5. W taki oto sposób podatność może się rozejść na wszystkich użytkowników platformy w szybkim czasie.

Jeżeli chciałbyś posłuchać o innych skutkach cross site scripting:
- Zobacz film na YouTube
- Przeczytaj materiał na blogu
- Posłuchaj podcastu na Spotify, Google Podcast lub Apple Podcast

Subskrybuj kanał na YouTube
Chcesz otrzymywać takie materiały na swój email? Dołącz do newslettera.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#firma #biznes #polska #gruparatowaniapoziomu #ciekawostki #informatyka #security #programowanie #programista15k

[KacperSzurek]

Wołam zainteresowanych (175) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak

[KacperSzurek]

[KacperSzurek]

[KacperSzurek]

[przypadkowylogin]

@KacperSzurek: interesująco opowiadasz

[Dawidi]

@KacperSzurek: Dlaczego nie wrzuciłeś tego wcześniej? Wczoraj na rozmowie dostałem z tego pytanie i nie wiedziałem nic ;(

[ipoproblemie]

podatność może się rozejść

Tak to jest jak się nie rozumie co się pisze

[KacperSzurek]

@przypadkowylogin:
Dzięki za miłe słowa.
@Dawidi:
Materiały na wykopie publikuje z lekkim opóźnieniem.
Jeśli chcesz je widzieć wcześniej – zachęcam do subskrypcji kanału na YT.

[Zdzisiu1]

tyktak

[hntr95]

@KacperSzurek: Kod raczej nie jest wykonywany na naszym koncie, tylko przez naszą aplikacje kliencką czyli przeglądarkę ;) Tak btw bardzo ciekawy materiał ;)

[qmshallo]

To jest duży problem nie tylko polskich inżynierów. Nie potrafią rozmawiać z kadra nadzorcza na temat problemów i ich potencjalnych skutków. Pracuję we francuskiej firmie i czasami, jak widzę prezentację danego zagadnienia to jestem załamany. Brak ładu i składu w prezentacji, brak strategii komunikacji

[DOgi]

@KacperSzurek: xss można zrobić bez klikania. Wystarczy iframe.

[KacperSzurek]

@hntr95: Tak, masz racje.
@DOgi: są różne rodzaje XSS – Stored, Reflected, DOM Based.
Tu akurat pasował mi Reflected - dla uproszczenia tłumaczenia.

[lukasz-brak]

@qmshallo: A myślisz, ze dlaczego jakiś czas temu home, padło bo brakowało zaufania. Brak zaufania na lini zarząd pracownik powoduje. A c--j nie powiem, może nic się nie stanie.

[Bordomir]

@KacperSzurek: mógłbyś nie tagować #gruparatowaniapoziomu? Nawet definicji XSS nie masz poprawnej.

[KacperSzurek]

@Bordomir: Dzięki za komentarz.
Mógłbyś wytłumaczyć dlaczego jest niepoprawna i do czego konkretnie się odnosisz?

[Bordomir]

@KacperSzurek: XSS to wstrzyknięcie kodu w stronę i wykonanie go przez przeglądarkę, nie musi to być JS, a kod nie musi być groźny.

[vukko]

@KacperSzurek: dla kogo kierujesz swoje informację? Posiadasz jakiś certyfykat OWASP OCSP albo CEH albo CISSP? :)

[KacperSzurek]

@vukko: Różne serie do różnych osób.
Od 0 do pentestera – głównie do programistów. Możesz się dowiedzieć jakiś ciekawostek powiązanych z bezpieczeństwem i sprawdzić czy Twój kod jest podatny.
Podcast natomiast – do szerszego grona odbiorców.
Małe sprostowanie: OWASP nie wydaje certyfikatów.
Mam OSCP ale nie uważam, żeby w tej branży certyfikaty miały największe znaczenie.