Incident Response, Security and Forensics"

.

martes, 17 de noviembre de 2009

XSS ¿Le puede pasar a todos?

Hola lectores,

Haciendo una revisión interna sobre un aplicativo web se descubre un fallo de XSS en uno de los parámetros de entrada de un formulario. Hasta aquí nada nuevo, simplemente lo adjuntamos al informe y ponemos la recomendación de mejora para subsanar el fallo.

El responsable de la aplicación tras su comprobación una vez entregado el informe se dispone a solucionarlo, mientras llama al desarrollador le comunica por telefono, "esto del XSS le puede pasar a todos". Esa frase se quedo grabada a sangre y fuego de forma lapidaria en mi mente.

Los que nos dedicamos a seguridad, nos planteamos que esto no puede pasar a todos, actualmente cualquier persona con un minimo de orientación profesional conoce los fallos de los aplicativos en web y como mínimo conoce OWASP.

Por otro lado varios de los artículos de nuestros amigos de 'SecurityByDefault' ya nos alertaban de las cosas que se pueden hacer en su ya famosos 'Hackeos memorables' y como no también en Facebook.

Pasados unos días me dispongo a comprobar si esto del XSS la gente se lo toma en serio. Buscando por Internet me encuentro con esta magnifica base de datos de incidencias reportadas sobre XSS y disponible desde aquí

Comprobarlo vosotros mismos ya que no tiene desperdicio.

NOTA
: Muchos de estos Links en Microsoft están solucionados, aunque se mantiene u
n mirror con los fallos originales.



Imagen1: La empresa de Windows 7




Imagen2: Mis padres también se registrarón aquí




Imagen3: El rey de las busquedas también tiene fallos

Y como no, desde esta web tambien se pueden ver los ejemplos 'en vivo'



Imagen4: El principe (Bing) de las busquedas también tiene fallos






Imagen5: como dicen en mi pueblo "este es mu bonico"


Va a tener razón el programador..."esto le puede pasar a todos"

¿ y a ti, también te pasa?

1 comentarios:

Buenas.. con respecto a la entrada.. muy buena , muy buen blog , y si...
sqli y xss es uno de los mas comunes..

el que busca encuentra ?¿

pero no venia a eso :P
brother sabes que tengo una urgencia..
un amigo edito una foto con el paint , y me la paso , yo kisiera saber si existiese la posibilidad de volver la iamgen un paso atras , antes de la edicion , tendras alguna idea si es posible ?
gracias men...
se que desvirtue , pero lo necesito :P
sos al unico que puedo consultar esto x eso vine :P

una ves mas gracias..
un saludo