XSS - wie gravierend ?

T

THRALL

0
Hallo,

ich möchte mal eure Meinung zum Thema XSS hören. Ich war immer der Meinung, das solche Lücken sehr gravierend sind bin aber bei fast allen Webmastern auf völlige Ignoranz gestoßen. Die Meisten haben sich nicht mal die mühe gemacht zu Antworten, geschweige das Problem behoben.


Da Frage ich mich woran es liegt das XSS Lücken auf Websiten mit mehreren tausend Usern vom admin komplett ignoriert werden ? Weil der Server nicht modifiziert wird ? So was ist doch ein Paradies für Phisher & Co !
 
Original von THRALL
Hallo,

ich möchte mal eure Meinung zum Thema XSS hören. Ich war immer der Meinung, das solche Lücken sehr gravierend sind bin aber bei fast allen Webmastern auf völlige Ignoranz gestoßen. Die Meisten haben sich nicht mal die mühe gemacht zu Antworten, geschweige das Problem behoben.


Da Frage ich mich woran es liegt das XSS Lücken auf Websiten mit mehreren tausend Usern vom admin komplett ignoriert werden ? Weil der Server nicht modifiziert wird ? So was ist doch ein Paradies für Phisher & Co !
Zum Vergrößern anklicken....

weil der aufwand meist zu groß ist...und solange nur ein odere 2 user drauf aufmerksam machen und keine größerer schaden angerichtet wurden ist einfach todschweigen!
 
Haha

Sone XSS lücke kann doch durch ein simplen Filter sofort gelößt werden.

Bei den größeren Sites kann man ja auch nicht mehr einfach nen Script tag reinhauen, nen Filter ist also schon da, nur wurde der nicht gut umgesetzt. Da müsste man nur nen bischen anpassen.

Und wenn da ein großer Amerikanischer Buchladen (mit Onlineshop) sich nicht für ne Sicherheitslücke Interessiert finde ich das doch sehr arm ...

Na, dann ab in die Blogosphere damit ;)
 
Original von THRALL
Haha

Sone XSS lücke kann doch durch ein simplen Filter sofort gelößt werden.

Bei den größeren Sites kann man ja auch nicht mehr einfach nen Script tag reinhauen, nen Filter ist also schon da, nur wurde der nicht gut umgesetzt. Da müsste man nur nen bischen anpassen.

Und wenn da ein großer Amerikanischer Buchladen (mit Onlineshop) sich nicht für ne Sicherheitslücke Interessiert finde ich das doch sehr arm ...

Na, dann ab in die Blogosphere damit ;)
Zum Vergrößern anklicken....

xss ist auch bissel überwertet in meinen augen in zeiten web2.0 wirste wohl immer was finden ;)
 
So denken viele, da der Server nicht modifiziert wird.

Aber nennst du es überbewertet, das wenn du auf nen link klickst (und du nen account dort hast) automatisch 100 Bücher kaufst ?

oder

falls man was in das PM System einschleusen kann, du nur deine neuen Nachrichten lesen musst, und wir hier 3 Beitäge mit "ich bin doof" haben ?
 
Was denkt ihr wäre dann einen Anreiz die Lücke zu schließen ?

Mal nen gutes Proof of Concept schreiben was über nen alert hinausgeht ?
Einfach was über die ungefixte Lücke ins Blog schreiben ?
Aufhören nach sowas zu suchen, da 90% der Seiten Lücken haben ?
 
Ich bin für das Zweite.
Wenn man die Lücke in einem Blog veröffentlicht und es den Link dem Besitzer der unsicheren Seite schickt wird sie meistens schnell geschlossen.
Das ist wenigstens meine Erfahrung.
Denn wenn er sie nicht schließt finden sich schnell genug Leute, die sie ausnutzen und dann hat der Betreiber Pech gehabt.

Was möchtest du für nen POC machen, dass darüber hinausgeht??
vll nen paar accs damit klauen und die Benutzerdaten dem Betreiber schicken, als Beweis, dass die Lücke kritisch ist?

Das XSS Lückensuchen aufgeben würde ich sowiso nie.
 
Original von Elderan
Hallo,
Original von Chakky
xss ist auch bissel überwertet in meinen auge
Zum Vergrößern anklicken....
Achja, mal wieder die extreme Unwissenheit die dazu führt, diese Lücke zu verharmlosen.
Zum Vergrößern anklicken....

ok hast mich vom gegenteil überzeugt alles zurück nimmt....


dafür sind wir ja hier um was zu lernen!

aber in letzter zeit hat das mit den meldungen auch überhand genommen da xss und dort ein xss ging mir auch bissel auf die nerven!
 
@HKA

Mit nem besseren PoC meinte ich sowas wie wenn man den Link anclickt wird automatisch nen Forumpost erstellt oder sowas. Denn ich denke, dass viele Webmaster noch denken, das son bischen Javascript nichts anrichten kann.

Na dann kommt dann gleich mal was ins Blog, kann man ja auch unter "Referenzen" abbuchen ;)

edit: http://www.godberit.de/blog/2007/10/22/xss-bn/
 
Hi,

Also am besten einfach " ' > < ; und so weiter rausfiltern dann ist man meistens auf der sicheren Seite
(denk ich mal, lass mich aber gern eines Besseren belehren)

Also ums schließen gehts nicht, warum die das dann ignorieren ist mir auch schleierhaft...

mfg,
Xalon
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben