advertisement

Badass XSS: Esqueça o alert e vá para mundo real

50 %
50 %
advertisement
Information about Badass XSS: Esqueça o alert e vá para mundo real
Technology

Published on February 20, 2014

Author: danielcmarques

Source: slideshare.net

Description

Co0L BSidesSP v5 (Mai/2013)

Você provavelmente já deve ter cansado de demonstrar XSS com aquela famosa janelinha de alert ou com códigos que não fazem sentido nenhum em ataques reais. Adicione aqui gerentes, diretores e clientes "low tech" que continuam sem entender o problema.

A palestra tem como objetivo trazer a diversão de volta para a exploração das falhas de XSS, mostrando maneiras diferentes de utilizá-las em cenários reais e tornar a demonstração mais interessantes para gerentes e diretores.

Em Janeiro de 2014, a palestra foi apresentada também no I Encontro do Capítulo Rio da OWASP.
advertisement

AVISO PADRÃO O conteúdo aqui apresentado representa minhas próprias conclusões e opiniões e não as de meus empregadores, clientes e etc. Não há intenção de causar nenhum danos a terceiros. A utilização do conteúdo apresentado é fruto de pesquisa e deve ser utilizado apenas em ambientes autorizados.

/me = dedo podre para quebrar coisas == alguém que gosta de compartilhar coisas == fã de Danny Trejo != rockstar de SegInfo @0xc0da

Premissas Todos sabemos o que é Cross Site Scripting (XSS). Nada de evasão de filtros hoje, galera. Nada de über1337h4x0rninjaskillz. Vamos do jeito “fácil” dessa vez. ;-)

Um dia você encontrou um XSS medonho em uma aplicação.

E apresentou assim

Provavelmente reagiram assim.

Vamos nos divertir um pouco mais?

I. All your forms are belong to us

Então você tem um formulário de login.

E um XSS.

Por que um alert quando você... Pode redirecionar o formulário?

Por que um alert quando você... Pode usar um keylogger?

II. Advanced Persistent Threats

Um cenário interessante, de um teste real.

Informações do cookie eram utilizadas na página.

Sem filtro, claro. E havia outra vulnerabilidade, que permitia acessar o cookie.

Já mencionei que eu gosto de compartilhar?

Por que um alert quando você... Pode compartilhar uma aba?

Uma história sobre botões de download.

Por que um alert quando você... Pode compartilhar arquivos*? *Krzysztof Kotowicz – Hack In Paris 2012

Amarrando tudo*... *Apenas Chrome (até agora)

III. Shells e todas aquelas coisas legais

Você ainda quer Shell?

Sem problemas!

Por que um alert quando você... Pode explorar um 0day do JAVA todo mês?

Por que um alert quando você... Pode fazer um port scan, usar o navegador como proxy e lançar ataques como o usuário?

Ferramentas como BeEF e xssf podem ajudar a manipular o navegador do usuário.

IV. Mais algumas dicas

Dica #1 Queremos ser o discretos. Deixar o código limpo ajuda, ok?

Dica #2 Shell não é tudo. Criar usuários, enviar mensagens e acessar dados também pode ser interessante

Dica #3 Não se restrinja a interface web. Mobile Apps também podem ser vetores interessantes de ataque.

Obrigado! @0xc0da codalabs.net /0xc0da

Agradecimentos especiais Esta palestra não seria possível sem a colaboração de algumas pessoas, em especial minha namorada Renata Senna (design da capa e fundo dos slides), os amigos Vanessa Maia, Sávio Mendes, Alexandre Pinaffi, Alan Markus, Jaime Souza, Tiago Bitarelli Gomes e Eduardo França. Meu muito obrigado também a equipe da Bsides SP pela dedicação e execução do evento.

Add a comment

Related presentations

Presentación que realice en el Evento Nacional de Gobierno Abierto, realizado los ...

In this presentation we will describe our experience developing with a highly dyna...

Presentation to the LITA Forum 7th November 2014 Albuquerque, NM

Un recorrido por los cambios que nos generará el wearabletech en el futuro

Um paralelo entre as novidades & mercado em Wearable Computing e Tecnologias Assis...

Microsoft finally joins the smartwatch and fitness tracker game by introducing the...

Related pages

codalabs • Apresentações - Slides e links

... Meeting - Badass XSS: Esqueça o alert e vá para mundo ... Badass XSS: Esqueça o alert e vá para mundo real ... O blog é um lugar para eu ...
Read more

Rio de Janeiro - OWASP

OWASP Rio de Janeiro. Welcome to the Rio de Janeiro chapter homepage. ... Topic 3: BadAss XSS - Esqueça o alert e vá para mundo real. Who: ...
Read more

Daniel Marques | LinkedIn

Daniel Marques; Badass XSS: Esqueça o alert e ... The lecture aims to show real case scenarios ... outras ferramentas podem ser utilizadas para ...
Read more

Primeiro encontro OWASP RJ @ Caelum Rio - Eventick

... voltado para o desenvolvimento ... XSS - Esqueça o alert e vá para mundo real . ... XSS com aquela famosa janelinha de alert ou com ...
Read more

O Outro Lado BSidesSP ed 5 - Garoa Hacker Clube

“Churrascker” para os presentes. ... Intervalo para Almoço 12:50 Sala 1 BADASS XSS: ... há centenas de hackerspaces pelo mundo, ...
Read more

O Outro Lado BSidesSP ed 5/0xFC - Garoa Hacker Clube

A Conferência O Outro Lado - Security BSides São Paulo (Co0L BSidesSP) ... que são mini-conferências voltadas para a comunidade. A ...
Read more