Cross-site scripting hacks en aplicaciones web

categoría Computadoras y software / Administración y redes profesionales / Hackeo ético

Cross-site scripting (XSS) es quizás la vulnerabilidad web más conocido que puede conseguir su sitio hackeado. XSS se produce cuando una página web muestra la entrada del usuario - por lo general a través de javascript- que no está validado correctamente. Un hacker criminal puede tomar ventaja de la ausencia de filtrado de entrada y causar una página Web para ejecutar código malicioso en el ordenador de cualquier usuario que ve a la página.

Por ejemplo, un ataque XSS puede mostrar el ID de usuario y la contraseña de acceso la página de otro sitio web sin escrúpulos. Si los usuarios entran sin saberlo sus identificadores de usuario y contraseñas en la página de inicio de sesión, los ID de usuario y contraseñas se introducen en el archivo de registro del servidor web del hacker.

Otro código malicioso puede ser enviado a la computadora de la víctima y correr con los mismos privilegios de seguridad como el navegador web o la aplicación de correo electrónico que está viendo en el sistema- el código malicioso podría proporcionar un hacker con Read acceso completo / escritura a las cookies del navegador, archivos del historial del navegador, o incluso permiten la descarga / instalación de malware.

Una simple prueba muestra si la aplicación web es vulnerable a XSS. Puedes buscar cualquier campo de la aplicación que acepten la entrada del usuario (por ejemplo, en un formulario de acceso o búsqueda), y entran en la siguiente declaración de javascript:

Si aparece una ventana que dice XSS, la aplicación es vulnerable.
imagen0.jpg
Hay muchas más iteraciones para la explotación de XSS, como las que requieren la interacción del usuario a través de javascript onmouseover función. Al igual que con la inyección de SQL, que realmente necesita para utilizar un escáner automatizado para detectar XSS. Tanto WebInspect y Acunetix Web Vulnerability Scanner hacen un gran trabajo de encontrar XSS. A menudo tienden a encontrar diferentes temas XSS, un detalle que pone de relieve la importancia de utilizar varios escáneres cuando pueda.
image1.jpg
Otra escáner de vulnerabilidades web que es muy bueno en el descubrimiento de XSS que muchos otros escáneres no van a encontrar es NTOSpider de NT Objetivos. NTOSpider funciona mejor que otros escáneres en la realización de exploraciones autenticados contra las aplicaciones que utilizan los sistemas de autenticación de múltiples factores. NTOSpider definitivamente debe estar en su radar como un potencial escáner primaria o secundaria. Recuerde: Cuando se trata de vulnerabilidades web, los escáneres más, mejor!


   
	 	 
 
 
 
 
 
Artículos Relacionados
 
  

 
 
Sobre el autor
 
  Cómo protegerse de los hacks de desbordamiento de búfer Cómo protegerse de los hacks de desbordamiento de búfer  
Demonios vulnerables RPC y otros son objetivos comunes para hacks buffer-overflow. Ataques de desbordamiento del búfer son a menudo cómo el hacker puede entrar a modificar los archivos del sistema, leer archivos de bases de datos, y más.Los…
  Cómo utilizar editores hexadecimales para identificar las vulnerabilidades de hacking Cómo utilizar editores hexadecimales para identificar las vulnerabilidades de hacking  
Muy a menudo como parte de hacking ético, debe utilizar un editor hexadecimal para ver cómo una aplicación es el almacenamiento de información sensible, como contraseñas, en la memoria. Al utilizar Firefox e Internet Explorer, puede utilizar un…
  Conozca sus vulnerabilidades de la infraestructura de red para evitar hacks Conozca sus vulnerabilidades de la infraestructura de red para evitar hacks  
Vulnerabilidades de la infraestructura de red son la base para la mayoría de los problemas de seguridad técnicas y hacks en sus sistemas de información. Estas vulnerabilidades de nivel inferior afectan prácticamente todo lo que se ejecuta en la…
  Ejecutar exploraciones autenticados para evitar cortes en los sistemas de ventanas Ejecutar exploraciones autenticados para evitar cortes en los sistemas de ventanas  
Otra prueba de que puede ejecutar para proteger sus sistemas Windows desde hacks es un " autenticado " escanear - esencialmente buscando vulnerabilidades como un usuario de confianza. Este tipo de pruebas puede ser muy beneficioso, ya que a menudo…
  Proceso de autenticación web de Cisco wireless lan Proceso de autenticación web de Cisco wireless lan  
El proceso de autenticación web es una función de seguridad de capa 3 que permite al controlador de Cisco Wireless LAN para bloquear todo el tráfico IP del cliente no autenticado con la excepción de tráfico DHCP. Después de que el cliente ha…
  Configuración de acceso llavero en Mac OS X Lion Configuración de acceso llavero en Mac OS X Lion  
LA Key Chain es una manera de consolidar sus contraseñas en Mac OS X Lion - la que utiliza para iniciar sesión en tu Mac, tu contraseña de correo electrónico y contraseñas requerido por los sitios web. Así es como funciona: Usted utilizar una…
  Acceso Llavero en OS X Mountain Lion Acceso Llavero en OS X Mountain Lion  
Utilidad de Acceso a Llaveros de Mountain Lion puede ser muy útil para aquellos que tienen una gran cantidad de contraseñas. LA Key Chain es una forma de consolidar sus contraseñas - la que utiliza para iniciar sesión en tu Mac, tu contraseña…
  Cómo conectar un escáner a su mac Cómo conectar un escáner a su mac  
Un escáner normalmente se conecta a través de un puerto USB, aunque los modelos FireWire están en el mercado también. O puedes ganar un escáner como parte de una multifunción o todo-en-uno, dispositivo. Un escáner le permite reproducir una…
  Cómo configurar un escáner en Windows Vista Cómo configurar un escáner en Windows Vista  
Para configurar una nueva escáner en Windows Vista, simplemente conectarlo y encenderlo. Windows Vista casi siempre reconoce y los saluda por su nombre. Pero si Vista no reconoce su modelo de escáner en particular, puede utilizar la herramienta…
  Cómo alertar a los visitantes que su sitio requiere javascript Cómo alertar a los visitantes que su sitio requiere javascript  
Muchos usuarios se resisten a permitir javascript para sitios porque no desea descargar un virus o tienen otras cosas malas le suceden a sus sistemas. Además, las personas se han vuelto menos receptivos al uso de secuencias de comandos, ya que…
  ¿Cómo encontrar un lugar con javascript ¿Cómo encontrar un lugar con javascript  
Conocer su ubicación es una parte importante del trabajo con aplicaciones de javascript en un entorno de navegador. los localización objeto hace que sea posible determinar la ubicación actual de que el usuario está viendo. De hecho, usted…
  Cómo usar javascript objetos del navegador para gestionar el entorno de la aplicación Cómo usar javascript objetos del navegador para gestionar el entorno de la aplicación  
Objetos de javascript del navegador permiten descubrir y cambiar el entorno de aplicación. Al saber que el usuario ha pasado, donde el usuario es ahora, y donde se puede tomar el usuario, puede controlar eficazmente el flujo de la aplicación.…
 
 »  »  »  » Cross-site scripting hacks en aplicaciones web