הסבר על XSS
פרקי ההרצאה: הסבר על XSS
תמלול ההרצאה: הסבר על XSS
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על XSS» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, אנחנו מגיעים להתקפות על דפדפן עצמו, התקפות שבהן אנחנו מזריקים קוד, מזריקים סקריפטים לתוך הדפדפן בצד הלקוח, לא קשור לשרת, זה קליינט סייד סקריפטינג. למעשה, אנחנו גורמים לדפדפן של הלקוח בבית לעשות את הסקריפט שלנו של התוקפים.
אנחנו למעשה משלבים את הסקריפט הזדוני שלנו בתוך הקוד של האתר בצורה מתוחכמת, עוד מעט נראה איך עושים את זה, ואז הדפדפן של הבן אדם בבית מבצע את הסקריפט שלנו כאילו הוא היה מקורי בתוך האתר.
אז זאת הזרקה, אינג'קט של קליינד סייד בצד לקוח, לא בצד שרת, של הסקריפט. אנחנו לא מצליחים להשתלט על השרת, אנחנו לא מחפשים חולשה בתוך השרת עצמו, אנחנו לא נשתלט על השרת, אנחנו נשתלט על התחנה של הבן אדם בבית, על ידי זה שנגרום לו לבצע את הסקריפט שלנו, את הקוד שלנו בתוך הדבדפן שלו.
איך נעשה את זה? אנחנו נזריק את הקוד הזדוני שלנו שכתוב בשפת JavaScript, כי דבדפן מבין רק JavaScript. אנחנו נזריק את הקוד JavaScript שלנו לתוך האתר בצורה מתוחכמת, כך שהלקוח יבצע את זה ואנחנו נוכל להשתלט עליו.
למעשה אנחנו משתלטים על הדבדפן של הלקוח דרך האינטרנט. אנחנו הולכים לראות את כל זה, אני רק מסביר לכם את היסודות, אנחנו הולכים להדגים הכל.
זאת אחת ההתקפות הכי חזקות שיש. שימו לב, הייתה תקופה שזה היה 84% מכל חורי האבטחה. זאת אומרת, החברה צימנת בערך בשנת 2007, אני יודע שזה מזמן, אבל עדיין, זאת התקפה כל כך חזקה שהייתה 84%, כמעט כל ההתקפות באינטרנט היו בשיטת XSS.
ולכן זה מאוד מאוד חשוב שתבינו איך זה עובד, ומה העוצמה הגדולה של זה? העוצמה הגדולה שאנחנו משתלטים על האנשים בתוך הבית שלהם, על הדפדפן שלהם, כשהם גולשים לאיזשהו אתר אינטרנט תמים.
אנחנו הולכים לראות את זה. אני עוד פעם מדגיש שאנחנו לא נשתלט על שרת, אנחנו לא משתלטים על השרת. אנחנו משתלטים על הלקוח בבית שגולש לשרת, אבל השרת עצמו לא יהיה תחת שליטה שלנו.
רק עמדת העבודה של הדפדפן, של הלקוח הסופי, אנחנו נשתלט עליה. אנחנו הולכים לדבר על הנושא הזה המון, אנחנו הולכים לראות את כל השיטות לעשות את זה, לראות כמה סוגי הדגמות, לא אחת ולא שתיים, כי זה נושא סופר חשוב ומאוד פופולרי ואחת ההתקפות הקלאסיות נקרא לזה.
בסופו של דבר אני מצליח לגנוב את הזהות של הבן אדם מתוך הדפדפן. בואו נראה איזה סוגים יש, שימו לב, יש כמה סוגים, יש כמה טייפים. יש טייפ שנקרא Reflected, תכף אני אסביר לכם את הכל, את כל הסוגים, בואו נתחיל מההתחלה לאט לאט.
קודם כל, מה אנחנו מנסים לגנוב? מה המטרה הסופית שלנו? והמטרה הסופית שלנו לרוב זה קוקיז. קוקי זה מידע שנמצא בתוך דפדפן שמזהה את הלקוח.
אם אני אגנוב למישהו קוקי, זה כאילו גנבתי לו את הזהות. אנחנו הולכים לדבר על הקוקי הרבה פעמים. בגדול, זה מה שגורם לכם לא להכניס שם וסיסמה כל פעם שאתם נכנסים לפייסבוק.
נכון, תעשו ריסטארט למחשב, תחבו אותו לגמרי, תפעילו אותו אחרי יומיים, כשייכנסו לפייסבוק הוא לא יבקש שם וסיסמה, הוא יזהה אתכם. איך הוא זוכר מי היה לפני יומיים שאתם זה אתם?
כבר עברו יומיים והמחשב היה כבוי, איך? בגלל שבמחשב שלכם יש קוקי שתול בפנים. אם תלחצו F12 בדפדפן, אתם תוכלו לראות שבכל דפדפן יש איזשהו קוקי שהוא שותל,