XSS ölüyor mu?

0
Yns_
PHP 5.2 ile beraber PHP'de setcookie() fonksiyonuna 7.parametre olarak httponly desteği gelmiş.

Httponly çerezlere Javascript ile ulaşılamadığı için xss ataklarının en tehlikelisi olan cookie çalma olayı ortadan kalkıyor.

Şu an tek sorun her tarayıcı tarafından desteklenmemesi, ama yakında bir çok tarayıcı yeni sürümünde bu standartlara uyacaktır tahminimce.IE 7 ile en güvenli şekilde bu özelliği destekliyor, fakat mozilla şaşırtıcı bir şekilde desteklemiyor.
Destekleyen tarayıcılar:
* IE 6.0 SP1 and later - prevents reading, but not over-writing (still allows preset CSRF attacks)
* IE 7.0 - prevents reading and writing - safest
* Safari 1.3 and later - prevents reading
* Opera 8 and later - prevents reading
* Mozilla - not supported
* Firefox - not supported
* IE 5.x for Mac - will actually fail to render the page. Use browser detection to encourage them to migrate to Safari or Firefox once it supports HttpOnly


Bu adreste mozilla tabanlı tarayıcılar için potansiyel çözümler var.

Konu ile ilgili kaynaklar: #1 , #2

Görüşler

0
belfagor
Mozillanın desteklememesi tuhaf. Mic bile desteklerken Mozillanın böyle yapması....

Ama eminimki yeni sürümlerde bu desteği görücez.
0
yilmaz
XSS açığı benim doğru dürüst kod yazamamamdan kaynaklanan bir durum değil mi? Bunu artık tarayıcı kodlayan kişiler mi düşünmek zorunda artık?
0
arsenelupin
Herkes birlikte düşünmek zounda.

Sonuçta kodu yazan kim olursa olsun insan ve dolayısıyla "insani hatalar" her zaman söz konusu olabilir. Elbette gerekli önlemleri alarak xss ve diğer sıkça görülen açıkların üstesinden doğrudan php katmanında gelinebilir, öte taraftan, insani hatalara karşı birden fazla güvenlik katmanının bulunması her zaman tercih edilen bir durum olmalı gibime geliyor.

Yine de itiraz edilecekse, kanımca birden fazla güvenlik katmanı bulunmasının, kod yazan kişiyi zihinsel tembelliğe itmesi ve kişinin "nasıl olsa tarayıcıya takılır" düşüncesiyle yazdığı koda gereken özeni göstermemesi noktasında itiraz edilebilir.
0
Yns_
Xss her zaman kod yazarı ile alakalı bir durum olmuyor, tarayıcıların yorumlama farkları yüzünden xss zayıflıkları ortaya çıkabiliyor.Örneğin aşağıdaki kodu IE javascipt olarak çalıştırıyor.

<IMG STYLE="xss:expr/*XSS*/ession(alert('XSS'))">


Projeniz öyle bir proje ki, bazı html etiketlerine izin veriyorsunuz.İçinde IMG'de var..Şimdi elinizde böyle bir veri var, ve buna benzer milyonlarca yorumlama farkından doğan zayıflık olabilir.

Javascript ile ulaşamayacak bir cookie göndermek varken, yukardaki yorumlama farkları için standart değerleri aldıktan sonra beyaz liste oluşturup mu kontrol ederdiniz?
(Biz ikincisini yaptık, yüzlerce satır ekstradan kod yazmak durumunda kalıyorsunuz.)

Şahsen ben tarayıcıları yeterince düşündüm, birazda onlar bizi düşünsün.
0
anonim
Beyaz liste ve karaliste zaten kullanılması gereken önlemler bana kalırsa.
Diğer taraftan bu tip durumlar için daha kesin çözüm mod_security gibi web uygulamaları için geliştirilmiş ids leri kullanmaktır bence. 2 satırlık bir kuralla hemen hemen bütün XSS saldırılarının önünü kesersiniz.
0
Yns_
IE'nin yorumlama farkı olmasa yukarıda bahsettiğim problem karaliste yöntemi ile kolayca çözülebiliyor.

Ama bu konuda iş beyaz liste oluşturmaya gelince elinizde milyonlarca html attribute bulunan bir array'la uğraşmak zorunda kalıyorsunuz..
0
anonim
Evet beyaz liste biraz zahmetli ama IE olmasa bile dahi güvenlik açısından beyaz liste tercih edilmeli bana kalırsa.

Diğer taraftan baştada söylediğim gibi mod_securty benzeri uygulamalarla sorunu çözmek mümkün ama yalnızca mod_security veya yalnızca dispatcher kullanarak güvenliği tek katmana indirgemiş oluyorsunuz. Tabi bu da aslında risk ve kaynak yönetimi ile ilgili bir konu biraz da...
0
selam
Unutulmamalıdır ki her kod yazan kişinin elinde istediği gibi yönlendirebileceği bir sunucu yada sistem yöneticisi yok. Kaldı ki "yaşasın artık Javascript ile Cookie'lerimi çalamayacaklar" diye form yada benzeri yerlerden gelen veri alanlarını kontrol etmeyi bırakmamalıyız. Hala dünyada eski sürüm tarayıcı kullanan insanlar olacaktır. Bu liste kullanımı uzun bir süre daha devam edecektir hatta etmelidir.
0
gCg
tarayıcı destekleri bir yana sunucu desteği biraz daha kaygılandırıyor beni. linux sunucuların büyük bir yüzdesinde kullanılan cpanel henüz php4 olduğu için hala sunucuların bir çoğu php4 destekliyor.

php5'e geçiş için daha zaman var gibi gelmekte.
0
PHP-HuNTeR
ewet php5 için zaman var gibi gözküyor çünkü Host firmalarının işine gelmiyor o kdr forumu host ederken, php sürümünü değiştirince ortaya çıkan sorunlarla uğraşmak
0
wookiert-
Bu baslik XSS'i cookie calmaktan ibaret sananlarin dustugu bir yanilgidan ortaya cikmis olsa gerek. Bunun disinda, insanlarin javascript konusunda obsesif olmasini ilginc buldugumu ekleyeyim. Tarayicilarda calistirilabilen kod javascriptle kisitli degil. XSS icin Flash objeleri, Java vs. bir cok seyi kullanmak mumkun.

XSS in bence asil tehlikeli oldugu yer stored xss dedigimiz kisim. Kullaniciya sunulan cikti htmlencode edilmedigi surece de bu sorun kolay kolay cozumlenebilecek gibi gozukmuyor.
0
Yns_
Insanlar neden okumaktan acizler...
0
anonim
Pardon, bir sey mi kacirdim? Daha net olabilir misiniz?
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Türk Telekom Sitesi ve Win2003 Server

anonim

13 Haziran Cuma günü web sunucularına gizlice girilen Turk Ttelekom web sitesinin hangi işletim sistemi ve web sunucu yazılımını kullandığını merak edip ufak bir araştırma yaptım. Sanırım oralarda birileri bir hayli hayalperest, aşırı iyimser vs.

Netcraft.com sitesindeki "What's that site running?"e Türk Telekom´un kullandığı işletim sistemi ve web sunucusunu öğrenmek için girdiğimde en son yapılan örnekleme göre 10-13 Haziran arası bir tarihte Windows 2003 platforumuna bir geciş yaşandığını ve haliyle IIS 6.0´a terfi edilmiş olduğunu gördüm.

Güvenlik, Paranoya ve ICAT

FZ

Eğer bilgisayar kullanıyorsanız ve güvenlik kavramı size basit bir kelimeden daha fazlasını ifade ediyorsa o halde biraz sonra bahsedeceğim siteye bakmak zorundasınız!

ICAT Metabase isimli bu Internet sitesi en son 2 Ağustos 2001 tarihinde güncellenmiş olup bilgisayar yazılımları ve donanımları ile ilgili 2680 kadar "zayıf, saldırılabilir" noktanın çok detaylı ve spesifik kategorilendirilmiş bir veritabanını içeriyor.

Trusted Computing Hakkında Bir Sunum

sundance

Uzun bir süredir bahsi geçen "Bilgisayarınıza bir chip takılacak, bu sayede yazılım üreticileri ve web siteleri başta olmak üzere herkes kim olduğunuzu bilecek ve güvende olacaksınız" şeklinde lanse edilen Trusted Computing hakkında inanılmaz bir sunuma rastladım.

RMS'in "Treacherous (Hileci) computing" diye yorumladığı TC, Microsoft, Intel, IBM, HP ve AMD'nin birarada yeraldığı nadir projelerden biri. İki ayrı kalitedeki (25MB/50Mb) sunumu izleyin ne demek istediğimi daha iyi anlayacaksınız. Ben şimdiye kadar daha iyi bir sunum izlemedim.
Daha detaylı bilgi için adres AgainstTCPA

Kevin Mitnick'in kartı

sundance

80'lerde başlayan phreaker/cracker hayatı, yıllarca süren tutukluluk süresi ve hakkında yazılmış onca şeyden sonra tam anlamıyla bir modern zamanlar efsanesi olan Kevin Mitnick'in iş için kullandığı kişisel karta bu sabah Digg'de rastladım...

Eğer gerçekse oldukça orjinal değil mi?
Bu arada birçok ülkenin kanunlarına göre bu kartı taşımak bile suç :)

DEF CON 10 zamanı açıklandı

anonim

DEF CON'un 10.sunun zamanı ve yeri açıklandı. Yer: Las Vegas, Nevada Alexis Hotel. Zaman ise 2-4 Agustos arası. DEF CON'u ilk defa duyanlar icin kısa bir açıklama: Dünyanın en büyük hacker partisi!

Elime geçen programa gore: Alan içerisinde 802.11b wireless network olacakmış. (Laptopını al ve konferans sırasında fazlamesai'ye haber yaz yani) Call for Papers icin ise su linke başvurmanız gerekiyor. Bu sene 3 konuşma alanı olacakmış. Ayrıca da 150'şer kişilik iki tane de demo odası. Örneğin TiVOnuzu nasıl hack edersiniz gibi toplu gosteriler oralarda yapılacakmış.