¿Bloggers robando a Bloggers?

Las técnicas de XSS llevan ya mucho tiempo en el ajo este de la "Internete" y hay quien las ha devaluado como técnicas de segunda división. Sí, es cierto, no se ejecutan en el servidor y parece que el que se ejecuten en el cliente hace de ellas menos importante.

El caso es que con ellas se puede jugar si la gestión de las credenciales de los clientes están poco securizadas. Un emplo de esto es el Hijacking que se podía realizar de las cuentas en Slashdot. Ese es un típico ejemplo en el que se ve como si alguien roba la cookie de una sesión autenticada puede entrar en la cuenta del otro.

Otro claro ejemplo de esto fue parte del proceso se siguió para defacear la web de Zone-h, dónde se utilizó un XSS para mangar la sesión de la cuenta de correo de un editor y... el resto es historia.

Thor, de Elhacker.net me envió el otro día un XSS no persistente en Blogspot, y además en la parte que siempre se prueba, en el motor de búsquedas. Si haces click en el siguiente link se mostrará la cookie con la que estás visitando este blog:

http://elladodelmal.blogspot.com/search?q=%3Cscript%3Ealert(document.cookie);%3C/script%3E


Thor estuvo probando varias cosas, y llegó a una buena conclusión. El XSS sólo se ejecuta si y sólo sí, la página ofrece resultados. Así como en este blog se ha hablado varias veces de XSS se ejecuta la visualización de la cookie.

El problema, podíamos pensar, es que sólo podemos hacer XSS de lo que nos vaya a dar resultados,¿no?. Pues no, yo creo que el problema es generar un resultado para lo que quieras ejecutar, es decir, primero decides que javascript quieres ejecutar en el XSS y después, en un post creado para ese proposito generas la entrada necesaria para que de resultados con tu XSS.

¿Pero... tiene sentido? Es decir, un blogger puede postear código, al menos en Blogspot, y puede, si quiere, realizar. Yo he creado una entrada llamada Zarzojo que hace lo pispo. ¿Sirve para algo entonces el XSS del motor de búsqueda? ¿A alguien se le oucurre un vector de ataque? ¿Debería Google meterle mano o puede pasar en canoa de él?

Soy todo ojos. Saludos malignos!