Forse un esempio di vita reale aiuterebbe a capire quanto possa essere pericoloso un difetto di sicurezza apparentemente minore, come XSS.
Come parte di una valutazione della sicurezza, la mia azienda è stata incaricata di provare ad accedere al personale del CEO e-mail. Sono riuscito a ottenere il suo indirizzo e-mail personale tramite alcuni OSint, ora si potrebbe fare uno spear phishing con una versione personalizzata di uno dei tanti malware che rubano informazioni ma ho prolungato un po 'più a lungo la fase di raccolta delle informazioni.
Si è scoperto che il CEO amava le barche e ne stava vendendo una in un sito di vendita di barche. Il sito sembra piuttosto amatoriale, mi sono registrato e ho scherzato un po '. E cosa ho trovato? Il sito ti consente di gestire la tua password precompilando un campo password con quella attuale, spinto da questo indago un po 'di più sul sito. Mi sono imbattuto in una vulnerabilità XSS memorizzata: quando rispondi a un'offerta puoi inserire codice HTML arbitrario, incluso lo scripting, in essa e verrà eseguito nel browser del lettore!
Sembra piuttosto "innocuo", non lo fa ' vero? Cosa succede se lo combini con la cattiva gestione della password?
Quindi ho creato uno script che recupera la pagina della password (è una richiesta intra-dominio, SOP è soddisfatto), estratto la password e le informazioni sul client (UA, OS e simili) e inviarlo a un mio C&C. Poi ho instillato un senso di urgenza al CEO scrivendo attentamente una e-mail informandoli della mia "intenzione" di acquistare.
Dopo un giorno ho ricevuto la password che hanno usato per accedere al sito delle barche. Come previsto era la stessa password usata per la loro posta elettronica (non c'era 2FA, non ricordo ancora se fosse una cosa) e sono stato in grado di accedere alla webmail (le informazioni del client sono state utilizzate per simulare un accesso legittimo , nel caso fosse necessario mantenere un profilo basso).
Per farla breve, un attacco non è un singolo passo atomico, è fatto di piccole conquiste. Se dai spazio al tuo avversario per un passo, non saprai mai cosa può fare da lì. Un XSS è spazio per l'attaccante, come hai visto un bel po '.