[KacperSzurek]

Jeżeli jesteś programistą to wiesz, że wytłumaczenie technicznych kwestii osobom decyzyjnym bywa trudne.
Jak wytłumaczyć co to jest XSS – czyli wykonanie groźnego kodu JS w obrębie naszej domeny? #od0dopentestera
Jeżeli rozmawiasz z biznesem możesz skupić się na skutkach, jakie niesie tego rodzaju podatność.
Jednym z pomysłów może być opisanie działania XSS worm, który podobnie jak wirus w normalnym świecie próbuje zarazić jak największą liczbę użytkowników.

Jak to działa?
1. Załóżmy, że na FB znajduje się podatność reflected XSS – czyli każda osoba, która kliknie w odpowiednio spreparowany odnośnik, uruchomi na swoim koncie złośliwy kod JS.
2. Jest to groźne – ale tylko dla osoby, która weszła w taki link. Musi on zostać do niej jakoś przesłany (na przykład poprzez czat) a następnie musi w niego kliknąć.
3. Jeżeli jednak mamy do czynienia z robakiem – złośliwy kod pobierze listę wszystkich kontaktów zarażonej osoby i roześle do nich samego siebie (czyli prześle do naszych znajomych złośliwy odnośnik).
4. Jeżeli znajomy kliknie w taki link od nas – zostanie zarażony, a tym samym zacznie zarażać innych.
5. W taki oto sposób podatność może się rozejść na wszystkich użytkowników platformy w szybkim czasie.

Jeżeli chciałbyś posłuchać o innych skutkach cross site scripting:
- Zobacz film na YouTube
- Przeczytaj materiał na blogu
- Posłuchaj podcastu na Spotify, Google Podcast lub Apple Podcast

Subskrybuj kanał na YouTube
Chcesz otrzymywać takie materiały na swój email? Dołącz do newslettera.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#firma #biznes #polska #gruparatowaniapoziomu #ciekawostki #informatyka #security #programowanie #programista15k

[m_i_n]

Jakbym nie wiedział jak odbywa się xss to dalej bym nie wiedział ;) Materiał spoko ale brakuje wyjaśnienia jak to jest możliwy i jak przebiega u podstawy. Jak ktoś się z tym nie spotkał to nic mu ten film nie da.

[KacperSzurek]

@m_i_n: Bo tutaj tłumacze skutki a nie podstawy XSS.
Biznesu raczej nie interesuje jak to technicznie działa ale jak to może wpłynąć na funkcjonowanie organizacji.
Podstawy XSS tłumacze tutaj.
Pokazywałem też atak XSS przez obrazek, XSS w nagłówku User-Agent lub XSS bez tagów HTML.
A jeśli chciałbyś się zabezpieczyć to był materiał o Trusted Types albo rozmowa z Krzysztofem Kotowiczem, który zna się na tym temacie lepiej

[redou]

@KacperSzurek: https://en.wikipedia.org/wiki/Samy_(computer_worm)

[blargotron]

@KacperSzurek: Ja ostatnio tłumaczyłem przełożonemu CSRF i było spoko, ale on jest osobą techniczną, tylko specjalizuje się w bazach danych a nie w aplikacjach opartych na HTTP, jak ja. Myślę, że może udało by mi się to wyjaśnić też osobie nietechnicznej. Bo tutaj jest mniej technologii wmieszanych.

Natomiast osobie nietechnicznej to chyba bym się zesrał, żeby wytłumaczyć XSS. Musiałbym zacząć od tego co to jest skrypt JS w przeglądarce, samo to

[w.....y]

Ostro przesadzasz. Kompletne bzdury. To tak łatwo nie działa.

[MrChow]

@KacperSzurek dawno temu dostałem wiadomość na fb od znajomego kliknąłem w link automatycznie pobrało się rozszerzenie na Moją przeglądarkę wtedy to było chrome, rozszerzenie to wysłało do wszystkich Moich znajomych na fb tą Samą wiadomość z linkiem co Ja dostałem od znaj, usunąłem rozszerzenie wyczyściłem przeglądarkę i zmieniłem passy do fb, pyt. Brzmi co daje taki robak atakującemu passy do fb zapisane w przeglądarce, informacje o ilości kontaktów, przejmuje fb tymczasowo, informacje