Duda sobre xss

[WHK]

El bbcode funciona así..

Yo le doy el texto con contenido bbcode al servidor
El servidor toma el bbcode y lo transforma a html internamente, por ejemplo [img] a <img src=...
El visitante cuando ve la web verá el código html no el bbcode, el servidor le mostrará <img src=...

Tampoco puedes ejecutar javascript dentro de una imagen como por ejemplo:

Código (html4strict) [Seleccionar] Expandir

<img src="javascript:alert(1)" />

Eso no se puede hacer porque el explorador no lo va a ejecutar, eso solo funcionaba en internet explorer 6 porque es un caso especial, ie6 está lleno de bugs pero en los exploradores de ahora eso es imposible a menos que se encuentre un hueco de seguridad.

Lo que si se puede hacer es

Código (html4strict) [Seleccionar] Expandir

<img onerror="alert(1)" src="x" />

Pero en ese caso un xss da igual porque se supone que un xss tienes acceso a la manipulación del codigo html de la web.

En el caso del CSRF esto es totalmente aparte, si puedes evitar en parte el xss reflejado anteponiendo tokens pero si el atacante llega a encontrar la forma de obtener el token de la persona afectada entonces puede redireccionarlo hacia ese xss tal como pasa en smf y el csrf que actualmente hay y un xss que puedes explotar en el buscador de usuario que solamente tienes acceso con un token.

Ahora, esto no sirve si es persistente pero no quiero decir que con un token que evita csrf puedes evitar un xss, para nada!, lo que debes hacer es evitar el xss reparando el problema de raiz, no de forma indirecta filtrando comillas o poniendole token porque siempre habrá alguna forma de sobrepasar esos sistemas de seguridad y si todavía el código es vulnerable a xss lo pueden explotar.

[Castg!]

claro, eso yo lo habia preguntado en otro post, lo de <img src="javascript:...">
pero lo que si se podria, es filtrar un "header(auth" en una imgaen pidiendo asi autorizacion, ahi entra la ingeneria social...

[WHK]

eso es otro tema, no es xss ni csdf, si alguien cae en eso es porque con suerte sabe encender la pc.

[Castg!]

jajajaj pero se puede inyectar otro codigo por imagen?

[sirdarckcat]

cuando uso por ejemplo, <img <src=""> o un iframe estoy haciendo una peticion post

lol

jajajaj pero se puede inyectar otro codigo por imagen?

JS no se ejecuta con imagenes., necesitas un <script> o una vuln de XSS.

Saludos!!

[Castg!]

ok gracias por responder...

[sirdarckcat]

porcierto...

puedes poner JS en imagenes.. pero el codigo no se va a ejecutar a menos que lo pongas en un <script> o hay XSS..

[IWKY]

Bueno, a ver si lo he pillado, yo creo un formulario con los campos preestablecidos, ese formulario ¿Qué campos debe tener? Si fuera un foro smf ¿Seria el POST que genera el smf para hacer alguna operación? ¿Cómo crear un nuevo mensaje al foro o mensaje personal? le añado el javascript para que se envíe cuando se carga ese formulario, y ahora la dirección de ese formulario, la inserto en un mensaje al foro o dentro de algún iframe para que se ejecute la petición ha ese formulario. Y con esto ¿Qué consigo? crear un nuevo mensaje personal, por ejemplo.

La verdad no me ha quedado muy claro como explotar el xss, con lo del formulario, porque como se yo que campos debo meter.

Un saludo.

[~ Yoya ~]

Lo de formulario es XSRF/CSRF no XSS...

[jdc]

Hay veces que una variable post se puede enviar por url.

buscar.php?variable=

Tal cual se hace con GET