XSS ölüyor mu?

0
Yns_
PHP 5.2 ile beraber PHP'de setcookie() fonksiyonuna 7.parametre olarak httponly desteği gelmiş.

Httponly çerezlere Javascript ile ulaşılamadığı için xss ataklarının en tehlikelisi olan cookie çalma olayı ortadan kalkıyor.

Şu an tek sorun her tarayıcı tarafından desteklenmemesi, ama yakında bir çok tarayıcı yeni sürümünde bu standartlara uyacaktır tahminimce.IE 7 ile en güvenli şekilde bu özelliği destekliyor, fakat mozilla şaşırtıcı bir şekilde desteklemiyor.
Destekleyen tarayıcılar:
* IE 6.0 SP1 and later - prevents reading, but not over-writing (still allows preset CSRF attacks)
* IE 7.0 - prevents reading and writing - safest
* Safari 1.3 and later - prevents reading
* Opera 8 and later - prevents reading
* Mozilla - not supported
* Firefox - not supported
* IE 5.x for Mac - will actually fail to render the page. Use browser detection to encourage them to migrate to Safari or Firefox once it supports HttpOnly


Bu adreste mozilla tabanlı tarayıcılar için potansiyel çözümler var.

Konu ile ilgili kaynaklar: #1 , #2

Görüşler

0
belfagor
Mozillanın desteklememesi tuhaf. Mic bile desteklerken Mozillanın böyle yapması....

Ama eminimki yeni sürümlerde bu desteği görücez.
0
yilmaz
XSS açığı benim doğru dürüst kod yazamamamdan kaynaklanan bir durum değil mi? Bunu artık tarayıcı kodlayan kişiler mi düşünmek zorunda artık?
0
arsenelupin
Herkes birlikte düşünmek zounda.

Sonuçta kodu yazan kim olursa olsun insan ve dolayısıyla "insani hatalar" her zaman söz konusu olabilir. Elbette gerekli önlemleri alarak xss ve diğer sıkça görülen açıkların üstesinden doğrudan php katmanında gelinebilir, öte taraftan, insani hatalara karşı birden fazla güvenlik katmanının bulunması her zaman tercih edilen bir durum olmalı gibime geliyor.

Yine de itiraz edilecekse, kanımca birden fazla güvenlik katmanı bulunmasının, kod yazan kişiyi zihinsel tembelliğe itmesi ve kişinin "nasıl olsa tarayıcıya takılır" düşüncesiyle yazdığı koda gereken özeni göstermemesi noktasında itiraz edilebilir.
0
Yns_
Xss her zaman kod yazarı ile alakalı bir durum olmuyor, tarayıcıların yorumlama farkları yüzünden xss zayıflıkları ortaya çıkabiliyor.Örneğin aşağıdaki kodu IE javascipt olarak çalıştırıyor.

<IMG STYLE="xss:expr/*XSS*/ession(alert('XSS'))">


Projeniz öyle bir proje ki, bazı html etiketlerine izin veriyorsunuz.İçinde IMG'de var..Şimdi elinizde böyle bir veri var, ve buna benzer milyonlarca yorumlama farkından doğan zayıflık olabilir.

Javascript ile ulaşamayacak bir cookie göndermek varken, yukardaki yorumlama farkları için standart değerleri aldıktan sonra beyaz liste oluşturup mu kontrol ederdiniz?
(Biz ikincisini yaptık, yüzlerce satır ekstradan kod yazmak durumunda kalıyorsunuz.)

Şahsen ben tarayıcıları yeterince düşündüm, birazda onlar bizi düşünsün.
0
anonim
Beyaz liste ve karaliste zaten kullanılması gereken önlemler bana kalırsa.
Diğer taraftan bu tip durumlar için daha kesin çözüm mod_security gibi web uygulamaları için geliştirilmiş ids leri kullanmaktır bence. 2 satırlık bir kuralla hemen hemen bütün XSS saldırılarının önünü kesersiniz.
0
Yns_
IE'nin yorumlama farkı olmasa yukarıda bahsettiğim problem karaliste yöntemi ile kolayca çözülebiliyor.

Ama bu konuda iş beyaz liste oluşturmaya gelince elinizde milyonlarca html attribute bulunan bir array'la uğraşmak zorunda kalıyorsunuz..
0
anonim
Evet beyaz liste biraz zahmetli ama IE olmasa bile dahi güvenlik açısından beyaz liste tercih edilmeli bana kalırsa.

Diğer taraftan baştada söylediğim gibi mod_securty benzeri uygulamalarla sorunu çözmek mümkün ama yalnızca mod_security veya yalnızca dispatcher kullanarak güvenliği tek katmana indirgemiş oluyorsunuz. Tabi bu da aslında risk ve kaynak yönetimi ile ilgili bir konu biraz da...
0
selam
Unutulmamalıdır ki her kod yazan kişinin elinde istediği gibi yönlendirebileceği bir sunucu yada sistem yöneticisi yok. Kaldı ki "yaşasın artık Javascript ile Cookie'lerimi çalamayacaklar" diye form yada benzeri yerlerden gelen veri alanlarını kontrol etmeyi bırakmamalıyız. Hala dünyada eski sürüm tarayıcı kullanan insanlar olacaktır. Bu liste kullanımı uzun bir süre daha devam edecektir hatta etmelidir.
0
gCg
tarayıcı destekleri bir yana sunucu desteği biraz daha kaygılandırıyor beni. linux sunucuların büyük bir yüzdesinde kullanılan cpanel henüz php4 olduğu için hala sunucuların bir çoğu php4 destekliyor.

php5'e geçiş için daha zaman var gibi gelmekte.
0
PHP-HuNTeR
ewet php5 için zaman var gibi gözküyor çünkü Host firmalarının işine gelmiyor o kdr forumu host ederken, php sürümünü değiştirince ortaya çıkan sorunlarla uğraşmak
0
wookiert-
Bu baslik XSS'i cookie calmaktan ibaret sananlarin dustugu bir yanilgidan ortaya cikmis olsa gerek. Bunun disinda, insanlarin javascript konusunda obsesif olmasini ilginc buldugumu ekleyeyim. Tarayicilarda calistirilabilen kod javascriptle kisitli degil. XSS icin Flash objeleri, Java vs. bir cok seyi kullanmak mumkun.

XSS in bence asil tehlikeli oldugu yer stored xss dedigimiz kisim. Kullaniciya sunulan cikti htmlencode edilmedigi surece de bu sorun kolay kolay cozumlenebilecek gibi gozukmuyor.
0
Yns_
Insanlar neden okumaktan acizler...
0
anonim
Pardon, bir sey mi kacirdim? Daha net olabilir misiniz?
Görüş belirtmek için giriş yapın...

İlgili Yazılar

DHKP-C sitesi hack`lendi

anonim

Amerika'da 11 Eylül'de yapılan terörist saldırıların ardından ismi ABD resmi makamları tarafından PKK ile birlikte 'terör örgütü' listesine dahil edilen yasadışı Devrimci Halk Kurtuluş Partisi-Cephesi`nin (DHKP-C) başı Türkiye'de bilgisayar korsanları (hacker) ile dertte.

Bir grup hacker, yasadışı sol örgüt DHKP-C'nin resmi web sitesi www.kurtulus.com'un sayfalarına müdahale etti. Kendilerine @Team diyen grup sayfayı hack ettikten sonra girişe, 'Amerikada yaşanan vahşeti protesto ediyoruz' yazısını yerleştirdi. Sayfada ayrıca, 'Terörizme son' yazısı dikkat çekti.

Bu arada aynı terörist grubun www.dhkpc.com adresindeki sayfalarıda bir süre önce başka bir hacker grubu tarafından ele geçirilmişti. Kendilerine Digital Angels Team (Dijital Melekler Takımı) adını veren grup sayfanın ortasına kendilerine ait bir logoyu yerleştirdikten sonra yine gruplarına ait sayfa içinde link vermişlerdi.

Açık Sistemler ve Güvenlik - 3

FZ

"Sana söylemem gereken çok gizli bir şey var: 934FAB9234ASFDGER345ASDF" Anonim

Açık sistemlerde serbestçe kullanabileceğiniz şifreleme yazılımı GnuPG (Gnu Privacy Guard - gpg) isimli özgür güvenlik yazılımını temel alarak anlattığım yazı dizisinin 3. ve son bölümüne hoş geldiniz.

Bu bölüm en kısa ve az detay içeren bölüm ancak burada kısaca ele alacağım konuları ve yazılımları tam olarak kavrayabilmek için 1. ve 2. bölümleri okumuş olmanız gerekiyor.

GNU/Linux için NX yaması

anonim

Zdnet'in haberine göre Redhat ve İntel özellikle virüs ve solucanlara karşı etkili olacağı düşünülen NX (not execute) teknolojisini destekleyen bir Linux yaması yazılım yayınladılar. Microsoft'un bu desteği service pack2 ile birlikte bu yılın üçüncü çeyreğinde vermesi umuluyor. Linus Torvalds'ın bu teknolojiye olumsuz yaklaşmadığı da yine aynı makalede yer alıyor.

OpenBSD 3.5 pf firewall sistemi geliştiricileri ile söyleşi

FZ

Aralarında Can Erkin Acar´ın da bulunduğu OpenBSD pf firewall güvenlik sistemi geliştiricileri ile yapılmış O´Reilly söyleşisinin 2. bölümünü burada okuyabilirsiniz.

Söz konusu söyleşi OpenBSD 3.5 çıkışına dikkatleri çekmek ve güvenlik konusunda hassasiyetleri ile bilinen geliştirici ekibinin ortaya koyduğu ``pf´´ (packet filter) firewall sistemini daha iyi tanıtmak amacı ile yapılmış.

NAT arkasındaki makinaları saymak

raistlinthewiz

Gerçekten ilginç bir konu:
http://slashdot.org/article.pl?sid=03/02/05/2129218&mode=thread&tid=95
Kablo modem, DSL ya da normal modem üzerinden birden fazla bilgisayarını Internet´e açanların okumaları menfaatleri icabıdır.