This site uses cookies own and third. If you continue to browse consider to accept the use of cookies. OK More Info.

[Paper] XSIO

  • 1 Replies
  • 3661 Views

0 Members and 1 Guest are viewing this topic.

Offline JKS

  • *
  • Underc0der
  • Posts: 3
  • Actividad:
    0%
  • Reputación 0
    • View Profile

[Paper] XSIO

  • on: December 13, 2012, 04:56:53 pm
Antes que nada, quiero darle todos los créditos a Sven Vetsch, ya que este paper se basa en el suyo (en ingles)  sobre XSIO.

<------------------Cross Site Image Overlaying------------------ >

0x01-> Introducción.
0x02-> Explicación

+---------------------------------------------------------------------------------------------------------------------+

Cross Site Image Overlaying     

Esta variante del XSS es una forma de jugar con los estilos(css) y los tags html permitiendo asi conseguir hacer pishing u otros ataques similares.

Este tipo de ataques son interesantes de aprovechar en el caso de no poder ejecutar JavaScript por culpa de un WAF o filtro que haya por ahí.

+---------------------------------------------------------------------------------------------------------------------+


El ataque, como comente antes, esta basado en CSS, y la forma de explotarlo es usar style de las etiquetas HTML, quedando un payload como el siguiente:

"><img src='You are not allowed to view links. Register or Login' style='position:absolute;left:500px;top:123px;'/>

Este ataque no tiene mucha dificultad, ya que se trata de usar ir usando los atributos de css y podriamos hacer cosas como estas:

   



Hemos conseguido cambiado el logo, por uno de adobe(aunque no lo parezca), y con esto podríamos hacer creer una falsa sensación de que esta en un sitio legitimo.Se puede ver que hemos cambiado un logo por otro. Tambien podriamos poner un link hacía una web con malware alojado.

+---------------------------------------------------------------------------------------------------------------------+
« Last Edit: November 10, 2016, 02:48:52 pm by JKS »

Offline Sanko

  • *
  • Underc0der
  • Posts: 527
  • Actividad:
    0%
  • Country: 00
  • Reputación 0
  • ¿Puedes?
    • View Profile
    • Underc0de

Re:[Paper] XSIO

  • on: December 13, 2012, 05:02:52 pm
Buen post , como siempre.
Sigueme en Twitter : @Sankosk
Estos nuevos staff no tienen puta idea XD