Здравствуйте!
На днях обзавелся пробной програмкой для сканирования сайта и она показывает что использование $_SERVER['PHP_SELF'] не безопасно и что можно встроить JavaScript код. Отсюда вопрос. Какая опассность может быть для сайта если пользователь отакует сам себя. Этот же код выполнится только на его компьютере. Не где не сохраняется он.
1. savenko - 30 Мая, 2012 - 12:52:44 - перейти к сообщению
2. Мелкий - 30 Мая, 2012 - 13:07:10 - перейти к сообщению
А пример экспоита можно? Мне что-то воображения не хватает, как извернуться надо.
3. DeepVarvar - 30 Мая, 2012 - 13:29:12 - перейти к сообщению
Да-да, я еще у себя на хосте могу организовать скрипт с PHP_SELF а вы туда зайдете и мы посмотрим что вы туда на-XSS-или. 
4. EuGen - 30 Мая, 2012 - 13:32:21 - перейти к сообщению
Мелкий
пример
Ну а по теме - это пример "пассивного" XSS - то есть он, хоть и не сохраняется нигде, тем не менее все же может быть опасным, так как злоумышленник может передать ссылку на такую страницу атакуемому пользователю и все будет зависеть от того, перейдет ли тот по ней или нет (социальная инженерия и т.п.).
пример
Ну а по теме - это пример "пассивного" XSS - то есть он, хоть и не сохраняется нигде, тем не менее все же может быть опасным, так как злоумышленник может передать ссылку на такую страницу атакуемому пользователю и все будет зависеть от того, перейдет ли тот по ней или нет (социальная инженерия и т.п.).
5. savenko - 30 Мая, 2012 - 13:39:04 - перейти к сообщению
EuGen пишет:
Мелкий
<a href='http://stackoverflow.com/questions/6080022/php-self-and-xss'>пример</a>
<a href='http://stackoverflow.com/questions/6080022/php-self-and-xss'>пример</a>
Понял как можно наколоть людей.
В общем самому сайту не чего не угрожает, скажем есть сайт и форум к нему. Я Говорю о ребята тут класная вешь есть вставляю ссылку на этот же сайт. Вполне вероятно что пользователи авторизированы и у них есть учетки на главном сайте+авторизировны=>можно своровать cookie
6. EuGen - 30 Мая, 2012 - 13:43:38 - перейти к сообщению
savenko
Примерно так. Здесь уже все зависит от способов подачи вредоносной ссылки (то есть поверят Вам или нет). Самому сайту это так же может угрожать, так как объектом таких атак может быть сам администратор сайта (как правило, цель именно в получении административного доступа) - и, в зависимости от его привилегий, сам сервер тоже может быть подвергнут опасности.
Примерно так. Здесь уже все зависит от способов подачи вредоносной ссылки (то есть поверят Вам или нет). Самому сайту это так же может угрожать, так как объектом таких атак может быть сам администратор сайта (как правило, цель именно в получении административного доступа) - и, в зависимости от его привилегий, сам сервер тоже может быть подвергнут опасности.
7. savenko - 30 Мая, 2012 - 13:53:38 - перейти к сообщению
EuGen пишет:
savenko
Примерно так. Здесь уже все зависит от способов подачи вредоносной ссылки (то есть поверят Вам или нет). Самому сайту это так же может угрожать, так как объектом таких атак может быть сам администратор сайта (как правило, цель именно в получении административного доступа) - и, в зависимости от его привилегий, сам сервер тоже может быть подвергнут опасности.
Примерно так. Здесь уже все зависит от способов подачи вредоносной ссылки (то есть поверят Вам или нет). Самому сайту это так же может угрожать, так как объектом таких атак может быть сам администратор сайта (как правило, цель именно в получении административного доступа) - и, в зависимости от его привилегий, сам сервер тоже может быть подвергнут опасности.
И еще вопрос немного не по теме но тоже относится к хакингу:
Говорят что выставить права на папки 777 очень не безопасно и любой школьник сможет взломать. Как зная папку и знаю что в ней можно сделать все отправить туда файл который зальет другие файлы. В интернете просто везде пишут что это очень опасно ставить 777
8. EuGen - 30 Мая, 2012 - 13:58:57 - перейти к сообщению
savenko
Имеется ввиду, что при бездумном выставлении прав 777 на каталоги, пользователи смогут попытаться использовать имеющиеся на сайте возможности загрузки (аплоада) для того, чтобы загрузить туда что-нибудь наподобие веб-шелла - это возможно благодаря сочетанию "запись"+"исполнение". Но возможно это не всегда, тем не менее крайне не рекомендуется давать более широкие права, чем требуется - общее правило - сначала отнять вообще все права, затем при необходимости добавлять нужные.
Имеется ввиду, что при бездумном выставлении прав 777 на каталоги, пользователи смогут попытаться использовать имеющиеся на сайте возможности загрузки (аплоада) для того, чтобы загрузить туда что-нибудь наподобие веб-шелла - это возможно благодаря сочетанию "запись"+"исполнение". Но возможно это не всегда, тем не менее крайне не рекомендуется давать более широкие права, чем требуется - общее правило - сначала отнять вообще все права, затем при необходимости добавлять нужные.
9. DeepVarvar - 30 Мая, 2012 - 14:02:21 - перейти к сообщению
о_О - никогда не юзал PHP_SELF, не, ну было дело пару раз на заре начала...
Интересная штука.
(Добавление)
Вобщем еще раз - проверяем и чистим ВСЕ данные.
А в примере на оверфловочке поможет то что там указали + rawurldecode
Интересная штука.
(Добавление)
Вобщем еще раз - проверяем и чистим ВСЕ данные.
А в примере на оверфловочке поможет то что там указали + rawurldecode