Mit ‘XSS’ getaggte Beiträge

◾ „Stehe an der Spitze, um zu dienen, nicht, um zu herrschen! – Bernhard von Clairvaux

Nachdem ich über einen Beitrag zur Seite xssposed.org gestolpert bin und das Konzept absolut genial, wie auch einfach
fand, reihe ich mich nun seit heute in die  Liste der TOP IT-Secruity Researcher ein. Mein Ziel war es aufzuzeigen, dass
man relativ schnell sehr viele Lücken auf Webseiten finden kann.  Zunächst entwickelte ich die Software ForSeti, die
automatisch Lücken finden sollte. Schnell merkte ich aber, dass dies mit einer Software langsamer war, als selbst
händisch und mit dem richtigen „Riecher“ auf die Jagd zu gehen! ForSeti war also eine Fingerübung und wird vorerst
nicht weiter entwickelt.

Das gesteckte Ziel für XSSposed war nun, obwohl viele User dort einen gewaltigen Vorsprung hatten, die Nummer 1 unter
den TOP 50 Researchern oder sogar die Nummer 1 unter den TOP 50 VIP-Researchern zu werden. Mit Stand heute,
07.10.2014 23:50 Uhr, ist mir dies nun auch beides nach nur knapp 2 Wochen gelungen!

XSSposed Profile

XSSposed Profile

Um beim Eingangszitat zu bleiben: hier geht es nicht nur darum „erster“ zu sein, sondern darum, im Bereich der
IT-Security zu „dienen“ und das Netz ein Stück sicherer zu machen. Vor allem geht es aber darum die IT-Security-
Awareness in die Köpfe der Verantwortlichen zu bekommen! Manchmal eben auch mit drastischen Maßnahmen
und unkonventionellen eigenen Zielsetzungen, die zudem der Eigenmotivation dienen ;-)

XSSPosed-Tactic4l

XSSPosed-Tactic4l

 

Ziel der Aktion war auch den Unternehmen und Menschen, die diese verwundbaren Seiten administrieren, zu zeigen,
dass etwas unternommen werden muss! Ein ungewollter Redirect von Google, ohne jegliches zutun eines Anwenders,
der am PC nur auf einen Google-Link klickt, kann schlimme Folgen haben!

Leider bieten viele Firmen weder ein Bug-Bounty Programm an, noch honorieren Sie, dass in der Freizeit die „guten“
Hacker & Security-Freaks solche Lücken aufspüren und uneigennützig an die Unternehmen weiter kommunizieren.

Da kommt im Besten Fall ein „Ja, Danke“, oder „Das kann ja kein ernstes Problem sein…“ von vielen Unternehmen zurück.

XSSposed.org setzt genau dort an! Niemand möchte sich auf einer Seite mit seiner Domain gelistet sehen, auf der
offenkundig aufgezeigt wird, wie schlecht es um die Sicherheit auf der Seite steht und dass es den Betreibern offenbar
vollkommen egal ist, oder sie zu unfähig sind das zu beheben!

Mein Apell an Unternehmen die betroffen sind: „würdigt endlich mal die Arbeit die fremde Leute rein stecken, um euch
über EURE Fehler zu unterrichten, OHNE, dass die Presse oder eure Kunden etwas davon mitbekommen!

Safer-Web fix it!

Safer-Web fix it!

Bug Bounty Programme oder kleinere „Aufmerksamkeiten“ – im einfachsten Fall sogar nur ein „Dankesschreiben“
– würden den „freundlichen“ Hackern oft schon ausreichen. Es geht seitens der Unternehmen darum das Gesicht zu
wahren und niemanden wegen der Lücken zu beunruhigen. Die Security-Researcher wollen entweder oftmals
Aufmerksamkeit, oder schlichtweg Referenzen.

Die Alternative heißt ab heute XSSposed.org! The game is on you!

 

Video:

 

 

Advertisements

XSS-Lücke auf Liveleak.com

Veröffentlicht: 14. September 2014 in IT-Security
Schlagwörter:, , ,

„◾If there’s a leak out of my administration, I want to know who it is.“ – Karl Rove

Es geht in die zweite Runde! Nach Youporn und einiger Verbundseiten entdeckte ich gestern auf Liveleak.com eine Lücke die es ermöglicht eigenen Code einzuschleusen.
Im unten zu sehenden Video zeige ich kurz, wie die Cookie-Session-Daten und Redirect auf liveleak.com ausgeführt bzw. abgegriffen werden können.

Am unteren Bildschirmrand lassen wir einen kleinen Fake-Newsticker laufen, der dort ebenso nicht original hingehört ;-)
Ich hatte @liveleak via Twitter mehrfach auf ein Problem mit der Seite hingewiesen, bekam aber keine Antwort.
Zu beachten: funktioniert mit dem IE, jedoch nicht mit Firefox!

XSSed
Vielleicht reagiert man bei Liveleak nun? Bevor jemand Liveleak-Links verteilt in denen Schadcode (drive-by-download)
oder BeEF-Hooks verteilt werden?

You got „XSSed“! Told ya you are vuln! ;-)

 

Video:

 

 

XSS-Lücken auf Pornoseiten (Youporn & Co.)

Veröffentlicht: 6. September 2014 in IT-Security
Schlagwörter:, , ,

„◾Besser ein anregender Porno als ein mausetoter Klassiker.“ – Ludwig Marcuse

Hier haben wir ihn, einen Klassiker. Einen echten XSS-Klassiker ;-)

Nachdem man mich fragte ob ich denn auch schon bei wirklich bekannten und größeren Seiten Lücken gefunden hätte (was ich ja nachweislich schon habe), machte ich mich diesmal erneut 4-Fun auf die Suche. Und tatsächlich wurde ich bei meiner Suche auf Youporn (ja genau Youporn!) binnen weniger Minuten fündig. Natürlich nicht automatisiert, sondern über eine gute altmodische Suche nach Lücken in „Handarbeit“ ;-)

Die Suche hat weder die Seite, noch deren Ressourcen belastet, also wer auch immer wieder unken möchte „Keep cool and freaking calm down!“
Ich gab Youporn auf verschiedenen Wegen (u.a. per Mail) mehrfach die Chance mich zu kontaktieren, damit ich
Details zu der Lücke benennen kann. Man signalisierte zwar eine grundsätzliche Bereitschaft sich das anzusehen,
aber irgendwie kam von dort auch nicht wirklich das erhoffte Feedback zu Stande… Ein Bug-Bounty Programm
gibt es dort nicht wie man mir mitteilte. Was aber auch nicht entscheidend ist, da es mir beim Auffinden solcher Lücken nicht um Geld geht (hin und wieder zeigen sich Firmen aber durchaus dankbar/ erkenntlich!).

Inzwischen vermute ich, dass man bei Youporn entweder denkt ich möchte mir einen Scherz erlauben und die Lücke
wäre Erfindung, oder man vermutet einen Erpresser (lol, ja solche Gedanken haben manche ernsthaft wenn man nach
einem Bug Bounty Programm fragt!!).

Wie dem auch sei, hier ein Video, in dem ich eine Redirection, ein Alert und ein Formular auf Youporn injecte,…. quasi als Beweis.

Vielleicht reagiert man bei Youporn nun? Bevor jemand Youporn-Links verteilt in denen Schadcode (drive-by-download) oder BeEF-Hooks verteilt werden?

You got „XSSed“! Told ya you are vuln! ;-)

Ach, fast vergessen, Pornhub und ein paar andere Seiten sind auch mit ähnlichen Lücken betroffen. Aber auf solchen Seiten ist ja hoffentlich niemand von euch unterwegs ^^

Video (es musste schnell gehen, Schweinkram ist aber zensiert ^^):