XSS-червь

, XSS-червь иногда называемый межсайтового скриптинга вирусом . ^[1] — это вредоносная (или иногда невредоносная) полезная нагрузка, обычно написанная на JavaScript , которая нарушает безопасность браузера и распространяется среди посетителей веб-сайта с целью постепенного заражения других посетителей. ^[2] Впервые они были упомянуты в 2002 году в связи с уязвимостью межсайтового скриптинга в Hotmail . ^[3]

Концепция

XSS-черви используют уязвимость безопасности, известную как межсайтовый скриптинг (или сокращенно XSS ) на веб-сайте, заражая пользователей различными способами в зависимости от уязвимости. Такие функции сайта, как профили и системы чата, могут быть затронуты XSS-червями при неправильной реализации или без учета безопасности. Зачастую эти черви специфичны для одного веб-сайта и быстро распространяются, используя определенные уязвимости.

Уязвимости межсайтового скриптинга обычно используются в виде червей на популярных социальных или коммерческих веб-сайтах, таких как MySpace , Yahoo! , Orkut , Justin.tv , Facebook и Twitter . Эти черви могут использоваться со злыми намерениями, давая злоумышленнику возможность украсть личную информацию, предоставленную веб-сайту, например пароли или номера кредитных карт.

Примеры

Несколько XSS-червей затронули популярные веб-сайты.

Самый червь

Червь Samy, крупнейший известный XSS-червь, заразил более 1 миллиона профилей MySpace менее чем за 20 часов. Автору вируса был предъявлен иск, и он заключил соглашение о признании вины в совершении уголовного преступления. ^[4]

Червь Justin.tv

Justin.tv представлял собой сайт видеокастинга с активной пользовательской базой около 20 тысяч пользователей. Эксплуатированная уязвимость межсайтового сценария заключалась в том, что поле профиля «Местоположение» не было должным образом очищено перед его включением на страницу профиля.

Поле профиля «Местоположение» было очищено, если оно было включено в заголовок страницы профиля, но не в само поле в теле страницы. Это означало, что авторы червя, чтобы добиться скрытности и увеличить время жизни и распространение червя, должны были автоматически удалять полезную нагрузку XSS из заголовка страницы из кода червя, который уже был скрыт комментариями.

После правильной разработки червя он был запущен примерно в субботу, 28 июня 2008 г., 21:52:33 UTC, и завершился в воскресенье, 29 июня 2008 г., 21:12:21 UTC. Поскольку целевой социальный веб-сайт не был особенно активным (по сравнению с другими популярными целями XSS-червя), червь заразил в общей сложности 2525 профилей примерно за 24 часа.

Червь был обнаружен за несколько часов до того, как он был успешно удален, и на основании записанных данных (из-за первоначального назначения червя для исследовательских целей) червь смог заразить незараженные профили после того, как они были принудительно обработаны разработчиками Justin.tv. . После исправления уязвимости червь был еще раз очищен, и его можно было легко удалить. Однако это показывает способность червя адаптироваться и распространяться даже после контратаки.

Другие конкретные факторы, на которые указывают графики и данные, опубликованные злоумышленниками, включают социальную активность и отсутствие новых незараженных пользователей в течение определенного периода времени.

Червь Orkut "Бомбовая суббота"

Orkut, сайт социальной сети, также пострадал от XSS-червя. Зараженные пользователи получают записку, содержащую слова «Бом Сабадо» ( португальский , «Счастливая суббота»). Google пока не прокомментировал ситуацию. ^{[ нужна ссылка ]}

Ссылки

^ Алкорн, Уэйд (25 сентября 2005 г.). «Вирус межсайтового скриптинга» . BindShell.net. Архивировано из оригинала 23 августа 2014 года.
^ Фагани, Мохаммад Реза; Саиди, Хосейн (2009). «XSS-черви социальных сетей». 2009 Международная конференция по вычислительной науке и инженерии . стр. 1137–1141. дои : 10.1109/CSE.2009.424 . ISBN 978-1-4244-5334-4 . S2CID 14451635 .
^ Беренд-Ян Вевер. «Ошибка XSS на странице входа в Hotmail» .
^ Манн, Джастин (31 января 2007 г.). «Myspace рассказывает о приговоре Сами Камкару» . Techspot.com.

См. также

[bindshell-1] Алкорн, Уэйд (25 сентября 2005 г.). «Вирус межсайтового скриптинга» . BindShell.net. Архивировано из оригинала 23 августа 2014 года.

[2] Фагани, Мохаммад Реза; Саиди, Хосейн (2009). «XSS-черви социальных сетей». 2009 Международная конференция по вычислительной науке и инженерии . стр. 1137–1141. дои : 10.1109/CSE.2009.424 . ISBN 978-1-4244-5334-4 . S2CID 14451635 .

[3] Беренд-Ян Вевер. «Ошибка XSS на странице входа в Hotmail» .

[4] Манн, Джастин (31 января 2007 г.). «Myspace рассказывает о приговоре Сами Камкару» . Techspot.com.

[1]

[2]

[3]

[4]