An Ninh Web:Cách phát hiện website bị lỗi XSS
 

Nếu như muốn sử dụng các mả nguồn có sẵn trên internet thì bạn có thể tìm các lỗi trên các trang thông báo bug, các mail list như: securityfocus.com, securiteam.com milw0rm.com. . .


Còn nếu như sử dụng mã nguồn tự viết thì mình có thể dựa vào khả năng của mình để tìm bug XSS trên code hay là dùng các chương trinh scan bug, phổ biến nhất là Acunetix.


Và trong phần này tôi cũng xin giới thiệu một cách tìm thủ công: Một site bất kì bao giờ cũng có 1 hoặc tất cả các phần sau: search results, error messages, Web-form, chủ yếu lỗi XSS nằm ở các phần này, nói chung là XSS có thể xảy ra ở chỗ nào mà người dùng có thể nhập dữ liệu vào và sau đó sẽ nhận được 1 cái gì đó. Cách tìm lỗi để cho rõ ràng thì có thể chia thành 5 bước:


• Bước 1: Mở website cần kiểm tra.

• Bước 2: Bắt đầu kiểm tra , định vị 1 ô tìm kiếm hoặc 1 login form và gửi thông tin đi (nhập thông tin và nhấn submit hay login hay ok gì đó ). • Bước 3: Xác định khả năng site có bị lỗi XSS hay không bằng cách xem thông tin trả về: Ví dụ như thế này :

• "Your search for 'XSS' did not find any items"

• "Your search for 'XSS' returned the following results"

• "User 'XSS' is not valid"

• "Invalid login 'XSS'" hoặc là cái gì đó mà có dính tới chữ "XSS" mà mình nhập vào ban đầu thì 99% "Alert" này bị XSS. Chú ý: Các ô input hay các biến ngay trên thanh address ( var= ) thấy mấy cái này thì cứ nhét dữ liệu vào. Hãy thử với những script này: hoặc < i*g csstest=java script:alert('XSS')> hoặc có thể là &{alert('XSS')};


• Bước 4: Chèn code thực sự vào nơi bị lỗi : chèn cái này vào ô ban nãy và nhấn SUBMIT . Nếu sau đó nhận được 1 popup có chữ "XSS" thì "Alert" này 100% bị dính XSS.

Nhưng chú ý, thỉnh thoảng vẫn có trường hợp website đó bị dính XSS nhưng vẫn không xuất hiện cái pop-up thì buộc lòng mình phải VIEW SOURCES nó ra để xem. Khi view sources nhớ kiếm dòng này , nếu có thì XSS đã dính.

Một ví dụ khác thường gặp hơn: Gọi http://sitebiloi.com/ là site bị dính lỗi XSS và ta tìm được nơi bị lỗi như thế này: ttp://sitebiloi.com/index.php?page=[

:battay: