XSS черви и вирусы: сообщества уязвимых

Зародились на популярных комюнити сайтах, таких как социальные сети, блоги, сайты с обзорами пользователей, форумах, чатах, почте и пр.
Могут возникнуть в любой момент, так как уязвимость такого рода существует примерно на 80% сайтов.
Распространяются быстрее всех известных червей типа Slammer или Blaster.
С их помощью возможно создание бот-сети с целью распределенной DoS атаки. Возможно так же распространение спама, обман пользователей, изменение данных.
Независимы от операционных систем.
Распространяются по клиент-серверной модели (сервер-веб броузер), а не по стандартной peer-to-peer вирусной модели.
Не используют уязвимости операционной системы или броузера.
Могут использовать для размножения виджеты сторонних сайтов - рекламные банеры, погодные и новостные блоки, RSS ленты, счетчики и т.д.
Их трудно заметить, так как поведение "зараженного" броузера ничем не отличается от стандартного, а код JavaScript-а трудно отличить от стандартных скриптов веб-страниц.
Их легко остановить, так как достаточно лишь исправить ошибку или закрыть доступ к пораженному веб-сайту.
Размножение

Очевидно, что успешному вирусу или червю нужен механизм исполнения и размножения, XSS черви не исключение, но обладают своими уникальными особенностями. Используя веб-сайт для размещения вредоносного кода, XSS черви и вирусы перехватывают контроль над броузером и размножаются за счет копирования кода в другое место на сервере. Например, комментарий в блоге может содержать злонамеренный код, который при просмотре заставит броузер пользователей постить зараженные комментарии в другие журналы и посты. Код XSS вируса может так же отослать письма, выполнить денежный перевод, в общем сделать все, что способен сделать пользователь при помощи веб-броузера. Как возникают и распространяются такие черви понятно, а как они общаются между собой - за счет чего возможно размножение, размещение своего кода в других местах сервера?

XSS эксплоиты, обычно HTML/JavaScript, используют три пути для отправки HTTP запросов: HTML теги, объекты JavaScript DOM, XMLHTTPRequest (XHR).

Тэги

Очевидно, что они срабатывают сразу после загрузки страницы. например Img с src атрибутом, направленным на другой сервер, автоматически запросит картинку послав соответствующий запрос. Точно так же можно сконструировать форму с атрибутом Action, указывающим на необходимую страницу, и скриптом автомтически отправить ее. Аналогичным способом можно передать серверу куки пользователя, заставить перевести деньги, оставить комментарий. Этот же механизм соединения с другим сайтом может использоваться червем для размножения.

Document Object Model

JavaScript изначально создавался, конечно, с благими целями, однако на настоящий момент не понятно, чего же больше от него - вреда или пользы. При помощи JavaScript можно манипулировать всем содержимым страницы - изображениями, формами, окнами, текстом, куки и прочим, все эти объекты являются частью Document Object Model. Как и в случае с HTML тегами, JavaScript может использоваться для автоматической отсылки HTTP запросов.

Например:

var img = new Image();
img src = "http://server/path/";

будет аналогично такому запросу:

GET
http://server/path HTTP/1.1
Host: server
User-Agent: Firefox/1.5.0.1
Content-length: 0

XHR

JavaScript API под названием XmlHttpRequest является основой модной технологии AJAX, которая позволяет обновлять содержимое веб-страниц без их полной перезагрузки. XHR обеспечивает гибкий механизм для работы с HTTP запросами, при помощи него запросы можно отсылать незаметно, не используя теги HTML или работу со скриптами.

Например:

var req = new XMLHttpRequest();
req.open('GET', 'http://server/path', true);
req.onreadystatechange = function () {
if (req.readyState ==4) {
alert(req.responseText);
}
}
req.send(null);

Это породит такой же запрос, как и в предыдущем примере.

Однако вернемся к нашему подопытному, первому червю подобного рода Samy. Как уже было сказано, возник он на сайте MySpace.com. Автор разметил первую копию в свое профиле. Когда зарегистрированный пользователь просматривал его, червь за счет использования XHR добавлял Samy в друзья ничего не знающего юзера, а так же записывал его в личные кумиры несчастного, делая запись "but most of all, samy is my hero". Ну и, конечно, червь вставлял самого себя. Червь установил рекорд по скорости распространения, за первые 24 часа он заразил более миллиона аккаунтов - это почти в три раза больше чем у Code Red (359.000) или Blaster (336.000).



Очевидно так же, что XSS червь не принес с собой и особой сетевой катастрофы - именно за счет своей природы он не обрушил весь Интернет в день своего появления. Центральной точкой распространения является уязвимый веб-сервер и выполнение червя идет только в веб-броузере, где код передается только от сервера к броузеру и наоборот.

Как же работал червь? Достаточно просто, давайте разберем основные принципы:

Myspace блокирует множество тегов, позволяя только a, img и div. Однако некоторые броузеры (IE в частности) позволяют использовать скрипты внутри CSS тегов.
Например: