Jak włamać się na stronę internetową? | KURS – XSS #1

Dzisiejszy wpis rozpoczyna cykl poradników o webhackingu. W tym kursie będziemy pisać i mówić językiem od ludzi, dla ludzi! Jeśli interesuje Cię bezpieczeństwo stron internetowych, audyty informatyczne (bezpieczeństwa) lub po prostu prowadzisz swoją stronę internetową albo jesteś początkującym programistą PHP/HTML/JS/technologi sieciowych to dobrze trafiłeś! W każdym wpisie z cyklu hackingu stron www na naszym blogu, pokażemy jeden rodzaj ataku. Ataków jest bardzo wiele, mogą dotyczyć samego hostingu, pojedynczej strony www a nawet serwerów DNS. Cały kurs będzie przeznaczony dla początkujących hakerów i zatytułowaliśmy go roboczo „od zera do megahakera„. Nie jesteśmy prawdziwymi profesjonalnymi hakerami, traktujemy to bardziej jako zabawę i nauke. Jeżeli chcecie osiągać jakieś sukcesy w branży IT bądź hackingu, warto już na wczesnym etapie swojego rozwoju tak podchodzić do sprawy i uczyć się uczyć się i uczyć się – to tylko informatyka (albo aż:)). Do wpisu dołączony jest również zupełnie za darmo zestaw skryptów szkoleniowych i film wideo (oczywiście w naszym ojczystym języku uzupełniający zagadnienie ataków XSS :)) Gotowy na pytanie” jak włamać się na stronę internetową”?

Kurs hackingu – jak włamać się na stronę internetową, czyli jaka wiedza jest mi potrzebna

Aby rozpocząć zabawę w webhacking potrzebna jest podstawowa wiedza programistyczna (inaczej z miejsca nie ruszysz+oprogramowanie oczywiście do trenowania) z zakresu:

• podstaw HTML
• podstaw PHP
• zagadnienia bazodanowe (na początek SQL)
• przydatna jest też znajomość JavaScript.
• ogólna znajomość zagadnień internetowych (obsługi stron www:))
• dodatkowo program XAMPP lub dowolny serwer w celu przećwiczenia sobie i potrenowania.
• zwykła przeglądarka internetowa taka jak Firefox

Metod ataku na strony www jest bardzo wiele i należy pamiętać że nie każda strona jest podatna na każdy atak, należy zdać sobie sprawę, że większość stron jest w miarę dobrze zabezpieczonych ale do przejścia (jeśli znajdziesz lukę farciarzu:)!). Luk szuka się najczęściej ręcznie lub za pomocą wyspecjalizowanych narzędzi wspomagających audyty bezpieczeństwa. Dostępne są też bazy danych z exploitami (troszke o tym w naszym wpisie NMAP – skaner portów).

W każdym wpisie pod koniec postaram się pokazać jak można w miarę możliwości zabezpieczyć nasz prywatny skrypt przed tego typu atakami. Cykliczność oznacza, że będzie ten kurs kontynuowany w przyszłości. Również w miarę możliwości postaramy się tworzyć filmy do niego oczywiście z komentarzem po PL, mamy dość pseudo-crackerów dzieci, które kręcą filmy na YouTube z metodami które nie działają a mają za zadanie albo zdenerwować odbiorce, albo zarazić programem imitującym narzędzia do hakowania (np: wszelkie facebook hackery). Postaramy się również pisać dla ludzi – a więc chłopski język to podstawa (nie nie chodzi o język zastosowany w „Chłopach”, Władysława Reymonta). Dołączone będą również kody źródłowe gotowe do ataku, aby sobie samemu przećwiczyć na swoim komputerze (wymagany XAMPP lub własny hosting). Pamiętaj że bez znajomości podstaw HTML, PHP, SQL i JS nie ruszysz dalej.

Atak XSS na stronę WWW

Więc czym jest XSS (pełna nazwa to cross-site scripting)?

Wyobraź sobie że jesteś programistą lub autorem strony internetowej. Internauta ma do dyspozycji na Twojej stronie funkcje pozwalające potocznie mówiąc „dodawać treść”, która następnie jest wyświetlana, przykładowo może być to:

• księga gości
• mikroblog (twitter) dla gości
• system komentarzy umożliwiający każdemu lub zarejestrowanym komentować daną treść/zdjęcia.
• wyszukiwarka użytkowników
• wiele wiele wiele więcej
• tablica na fejsie (OHH Ty hakerze! Życzę i Tobie odnalezienia podatności XSS w skryptach fejsa, można nawet dostać za to prawdziwe pieniądze z programu Facebook Bug Bounty :))

Atak polega na nie przewidzeniu przez projektanta danej strony/skryptu możliwości umieszczenia oprócz komentarza/treści/itd dodatkowego kawałka swojego kodu HTML/JavaScript/itd. Jeżeli wpisujemy w formularz zamiast samej treści tag HTML pogrubiający tekst <b>:

Tutaj jest treść <b>komentarza</b>.

a po wyświetleniu jest on pogrubiony (chodzi o słowo „komentarza”). To strona jest poddana na atak typu XSS (osadzania własnego kodu na oczywiście nie własnej stronie www). Pół biedy jeśli dane nie są zapisywane jawnie (tak jak w wyszukiwarkach, choć i wtedy można dokonać pewnego ataku) i tylko my widzimy wyświetlony tekst (ale gdy odświeżymy to znika), gorzej jeżeli to co napisaliśmy jest gdzieś przechowywane i wyświetli się nam i innym (np: w amatorskich księgach gości). A już gorzej być dla autora strony nie może, gdy da się osadzać kod JavaScript… więc warto nauczyć się choć trochę tego języka z darmowych kursów JavaScript dostepnych w internecie.

Za pomocą JavaScriptu możemy między innymi:

• przekierowywać użytkowników na inną stronę (zamiast obejrzeć komentarze użytkownik strony zostanie wysłany heń daleko)
• zmieniać dowolnie wygląd strony (praktycznie każdy element)
• sprawić że pojawi się animacja śniegu na stronie
• wyświetlić fajne komunikaty
• wykraść pliki cookies i dzięki nim zalogować się na administratora lub innych użytkowników.
• wiele wiele więcej…

Oczywiście przekierować użytkownika możemy również na fałszywą stronę phishingową, wyglądającą identycznie jak atakowana, być może się zaloguje? Zrozumiesz to gdy obejrzysz filmik dołączony do wpisu. 🙂 Więcej o phishingu w wpisie jak włamać się na facebooka.

Przykładowo  mamy taki oto uproszczony kod na naszej stronie (równie dobrze może być to funkcja komentowania wpisów na czyimś blogu):

<h1>Od "lamera do superhakera" - haker.edu.pl #1</h1>
<h2>Atak XSS</h2>
<form action="haker.edu.pl.php" method="POST">
Wpisz co chcesz:
<input type="text" name="wpisane" size="80">
<input type="submit" value="wyslij">
</form>

<?php
echo $_POST['wpisane'];
?>

Co się stanie jak umieścimy taki oto kod w formularzu?

Wpisze sobie <b>cos</b> albo <spain style="color:red; font-size:40px">NIC!</spain>

Czy na pewno projektant chciał, aby użytkownicy w komentarzach dołączyli swój kod i dodali za pomocą znacznika np <img> obrazki, bądź psuć wygląd strony autora za pomocą innych tagów html/js? Na pewno nie! Jak pomyślimy logicznie to, gdyby komentarz wpisany powyżej był zapisywany gdzieś w bazie danych/pliku to powinien zostać wyświetlony wszystkim internautą (łącznie z autorem strony). Jest to PRAWDA! Włamywanie się na strony www okazuje się nie zawsze jest takie trudne jeżeli na to wpadłeś sam!

Czy to jest już koniec możliwości? NIE! XSS można wykorzystać do przejęcia kont użytkowników lub nawet administratora danej strony za pomocą ciasteczek (raczej ich wykradnięcia poprzez przekierowanie zademonstrowane w tym wpisie za pomocą JS). Więcej o ciasteczkach w przyszłych wpisach.

Atak cross-site scripting – JavaScript

JavaScript jest językiem programowania umożliwiającym wykonanie wiele bardzo ciekawych „akcji” przez przeglądarkę (łącznie z liczeniem). Zbiór ciekawych skryptów w JavaScripcie możecie znaleźć w swojej wyszukiwarce.

DYGRESJA: Jeśli już programowałeś to podpowiem Ci że JavaScript się nie kompiluje gdzieś tam na serwerze, ale wykonuje go przeglądarka www internauty na jego prywatnym komputerze taka jak FireFox, Chrome, Opera. 
Na czym polega ten atak XSS z JavaScript, bo już nie wiem!? Na tym samym – umieszczeniu skryptu JS na stronie. Tyle że skrypt JS  nie dość, że nie jest widoczny przez użytkownika (zależnie od funkcji którą użyjemy, JS jest widoczny w kodzie strony jeśli go podejrzymy) to może dodatkowo Nas nawet Nas przekierować wraz z kilkoma danymi od użytkownika takimi jak ciasteczka, godzina komputera i wiele więcej…

Przykładowe funkcje:

<script>alert("Witaj haker.edu.pl!");</script>

<script>window.location.href = "https://haker.edu.pl";</script>

Pierwsza funkcja alert() wyświetli monit o danej treści (czyż nie jest to złośliwe)? Druga natomiast, każe przeglądarce bez żadnego pytania przekierować użytkownika przeglądarki na stronę haker.edu.pl. Pamiętaj że jeżeli będzie to księga gości… oberwie każdy użytkownik ją czytający.

Funkcje przetestowałem w najnowszym na dzień dzisiejszy Firefox’ie 25.0.1, (ponieważ chrome niedawno wprowadziło w przeglądarce mechanizm anty-XSS, lecz jest prosty do obejścia… więcej w googlu najwyżej nie oberwą użytkownicy Chrome, chyba że dane są zapisywane to jak zobaczycie na filmiku nie wiele Chrome chroni (jedyne co to użytkownika przed wykradaniem ciasteczek ale i to da się obejść)) :).

Przypuśćmy że mamy oto taką stronę internetową (dostępna w zestawie szkoleniowym dalej):

<img id="logo" src="logo.jpg">
<h1>Od "lamera do superhakera" - haker.edu.pl #1</h1>
<h2>Atak XSS</h2>
<form action="haker.edu.pl2.php" method="POST">
Wpisz co chcesz:
<input type="text" name="wpisane" size="80">
<input type="submit" value="wyslij">
</form>

<?php
echo $_POST['wpisane'];
?>

Co możemy przykładowo zrobić za pomocą JavaScriptu? Podmienić logo na inne, aby skompromitować autora strony. Wystarczy mówiąc w przenośni zmodyfikować pierwszą linijkę kodu z odnośnikiem do obrazka i zmienić na dowolnie inny, jak wymieniałem wcześniej kilka możliwości JS jest to możliwe w ten sposób (wpisując w formularz):

<script>document.getElementById('logo').src = 'http://qualemelhor.com.br/blog/wp-content/uploads/2012/12/anonymous.jpg';</script>

Adres do zdjęcia wyszukałem w google, można wrzucić swój obrazek na stronę taką jak fotosik lub imageshack i umieścić go na stronie ofiary, możesz również wykorzystać swój serwer (jakiś tani hosting z domeną), lecz nie jest to za bezpieczne.

Za pomocą obiektu document, metody getElementById pobieramy uchwyt do danego elementu na stronie (w tym przypadku do obrazka bo jest w nim id=”logo”) a następnie wykorzystując atrybut .src (ścieżki do zdjęcia) zmieniamy go na dowolny adres. Możemy tak edytować każdy element na hostingu www (danej stronie internetowej), wystarczy że znamy troszeczkę html, javascript i css.
Strona po ataku:

 

Zaraz zaraz… ale przecież tylko ja widzę to zdjęcie…

Tak to fakt – dane nie są zapisywane, ale jeśli skrypt byłby prawdziwą księgą gości, bądź dowolną funkcjonalnością co zapisuje a następnie wyświetla ogółowi nasz komentarz/obojętnie co, to zobaczą to wszyscy odwiedzający stronę. Taki skrypt treningowy znajduje się nieco dalej do pobrania w treningu hackingu XSS.

Czy tylko formularze HTML są narażone na atak XSS?

Nie! Również parametry przekazywane za pomocą adresu strony www (metody GET) jeżeli są zapisywane=to są groźne! Przykładowo taki link:

http://przykladowa.strona.pl/komentuj.php?dodaj=<script>alert("Witaj haker.edu.pl!");</script>

W miejscu parametru dodaj= wstrzyknęliśmy skrypt JS. Przykładowo w poprzednich skryptach wystarczy zmienić echo $_POST[’wpisane’]; na echo $_GET[’wpisane’]; i odwoływać się zamiast formularza w ten sposób (skrypt dostępny w zadaniu domowym do pobrania zupełnie za darmo!):

localhost/xss1.php?wpisane=TUTAJ_XSS

 

Zadanie domowe z ataku XSS – DOWNLOAD!

Przygotowałem również dla Was szkoleniowy skrypt hakerski (taka darmowa szkoła hakerów :)), który zapisuje komentarze w pliku tekstowym a następnie je wyświetla, jest to super prosty skrypt i nie używa bazy danych, ale świetnie obrazuje atak. Atak na wielkie strony praktycznie nie odbiega od tego zaprezentowanego. Wystarczy go wrzucić do folderu XAMPP (wybieramy w programie start dla Apache, a gdy zmieni się kolor na zielony wybieramy Explore i wrzucamy do folderu htdocs pliki, możemy również wykorzystać swój darmowy serwer ftp taki jak cba.pl).

Spróbujcie się pobawić JavaScriptem i HTML (wiele tutoriali na temat tych języków dostępnych jest w internecie za darmo) . Skrypt zawiera oczywiście (przykłady powyższe+logo.jpg+treningowa księga gości w php):

 >>>Pobierz skrypt treningowy xss1-trenning.zip<<<

Dla ciekawskich, polecam pobawić się różnymi atrybutami użytymi na stronie np. tym jeżeli lubicie różowe strony internetowe:

<script>document.body.style.backgroundColor = 'pink';</script>

Jeśli znasz htmla to nawet bez znajomości JS zmienisz i inne elementy intuicyjnie, a że komentarze są zapisywane to zmiany są widoczne przez wszystkich. Jeżeli chcesz usunąć zmiany ze skryptu wystarczy usunąć plik komentarze.txt (on je przechowuje), który znajduje się obok plików treningowych.

Czy dzisiaj ataki XSS mają sens?

TAK! Nawet dzisiaj wiele stron jest podatnych na ataki XSS takich jak nawet onet, wp, demotywatory i ich klony, starsze i obecne wersje wordpressa, CMS, wtyczki do CMS (w tym rządowych, niedawno nawet na facebooku było kilka publicznych podatności XSS). Wiele nowych podatności XSS różnego typu oprogramowań dostępnych jest na http://1337day.com.

Zabezpieczenie się przed XSS

Zabezpieczanie skryptów przed cross-site scripting w teorii jest proste (w praktyce trudniejsze, bo trudno przewidzieć co wpisze użytkownik, nawet jak coś filtrujemy często da się to obejść znakami specjalnymi) – filtruj wszystkie dane przesyłane przez użytkownika. Używaj JavaScript do walidacji formularzy (lecz tylko na tym nie polegaj, bo napastnik może zmienić kod walidacyjny ponieważ jest on dostępny w kodzie html), z poziomu PHP możesz używać takich funkcji jak addslashes(), htmlspecialchars(), strip_tags() bądź własnej obsługi stringów.

Materiał video szkoleniowy uzupełniający wpis XSS

Wideo jest do pobrania w zakładce haker filmy lub bezpośrednio tutaj: atak xss.

Następna część nr 2 wpisu o metodach ataków na strony www

Poniżej znajduje się kolejna część cyklu metod audytowania bezpieczeństwa stron internetowych i ich zabezpieczania przed cyberprzestępcami.

Jak włamać się na stronę internetową? | KURS UPLOADERA #2

Podsumowanie

Dziękuje za przeczytanie pierwszego wpisu z cyklu podstaw webhackingu. Teraz już znasz jedną (do tego najpopularniejszą i najczęściej występującą) metodę włamań na strony internetowe www. Mam nadzieje, że podobał Wam się zarówno wpis jak i filmik (kręcony późną porą).

Jeśli myślisz że hacking www i luki z podatnością XSS nie występują/nie istnieje, to bardzo się mylisz… po prostu portale są tak duże, że ciężko je znaleźć (kilka lat temu w wujku google była również luka XSS) i białym kapeluszą i hakerą – black hat. To już koniec pilotażowego wpisu od lamera do megahakera. Podobało się?

Może zainteresuje Cię jeszcze:

• Jak włamać się na gadu-gadu
• Różne metody hakowania facebook 
• Dodatkowo polub nas na Fejsie TUTAJ, aby być na bieżąco! 

Pozdrawiamy! 🙂