XSS en mi contador de visitas

Desde hace tiempo, cuando explicamos las técnicas de ataque a aplicaciones web hacemos especial hincapié en que todos los datos que vayan desde el cliente al servidor son susceptibles de ser nocivos.

Lo dice mejor que yo Michael Howard, escritor del libro Writting Secure Code (2nd edition) en dónde dedica todo un tema a evitar la inyección de código y lo titula de forma muy personal:

“All Input Is Evil!”
Uno de los sitios donde estábamos mirando para meter inyecciones es en los campos http que se envian entre el cliente y el servidor. Los USER_AGENT y demás y el otro día andábamos discutiendo Alejandro Martín (programador del Reto Hacking I) y yo sobre probar a meterlo en algunos programas de estadísticas.

Como no había necesidad de montar nada especial y en Murcia tuve Internet durante la charla de los otros pájaros, pues opte por hacer las pruebas con Bravenet, uno de los servicios de estadísticas JavaScript que usa este blog.

El funcionamiento es sencillo, cada vez que alguien hace clic en un vínculo que lleva a una página del blog, se ejecuta el código javascript que lee la etiqueta http-Referer(Referer en Wikipedia) y lo envía al servidor de Bravenet. Este lo almacena y lo muestra cuando alguien consulta los referers del sitio.

Estos son los referers en este momento del blog.

Como se puede ver aparece el id del contador y el id del usuario. Así es este sistema. Además yo he dejado al navegador que almacene el usuario, pero no la password en una cookie para hacer esta prueba. Así que vamos a ello.

Para hacerlo uso el odyseuss, ya sabéis, un interceptor http, para jugar. Te configuras que el IE use como Proxy, e interceptas toda la sesión, entras en el blog del lado del mal y haces clic en cualquier link hasta que aparezca el envío de las estadísticas en una pantalla como esta:

Captura HTTP con Odysseus
Una llamada al servidor de Bravenet en la que envía el valor del referer en la variable ref. Ahí le he puesto el XSS para mostrar la cookie y tendrá el siguiente efecto cuando vayamos a ver los referers del sitio:

XSS para ver al cookie en Bravenet
Pero si le damos al boton de raw en odysseus se puede ver el host y el programa que lo carga, con lo que podemos ver la URL y el parámetro ref:

URL deposito de visitas
http://pub12.bravenet.com/counter/show.php?id=393750&usernum=999556215&cpv=2&ref=[script]alert(document.cookie)[/script]&sw=1280&sh=800&sc=32

Simplemente con poner el valor que desees ahí dentro podrás ejecutar cualquier código script.

Estos referers pueden ser consultados con la sesión abierta o con la sesión cerrada. Si se consultan con la sesión cerrada esto solo se queda en una broma, pero si la sesión está abierta alguien podría robar la cookie de la sesión del blogger, entrar robar la cuenta y hacer un poco el canelo, como hacer que el sitio navegue a otra parte, poner una imagen, etc….

En fin un XSS en Bravenet de lo más facilón.

Saludos!