Juegos de niños

Las técnicas de XSS son una plaga por la facilidad para encontrarlas, pero la mayoría de ellas no persistentes. Los XSS no persistentes son esos en los que para que la víctima se vea afectada tiene que hacer clic en un link y esto ya no es tan común hoy en día.

Recuerdo que tiempo ha publiqué un post de cómo hacerte un crisma con el potosó usando las técnicas de XSS no persistentes en un par de sitios graciosos. Mis amigos de SecurityByDefault también publicaron un XSS de libro en cierta empresa que se encargaba de gestionar ciertos derechos digitales.

La pregunta es..¿son peligrosos realmente o son más un juego para nosotros? Es decir, si tomamos un sito, … no sé, por ejemplo IBERIA y hacemos un XSS no persistente como éste en el que ponemos nuestro código javascript para reírnos un rato con los colegas… ¿es realmente un fallo de seguridad importante?


XSS no persistente 1
O si hacemos un ejemplo, como este otro, para defacear un poco una web con XSS y enseñarlo a los amigotes… ¿puede ponerse en riesgo la seguridad del sistema de Ibirria o es sólo una bromichuela? Al final todo corre en tu navegador y no en otro sitio.


XSS no persistente 2
Es decir, puestos a mirar el riesgo de seguridad… ¿no es más fastidioso dejarse los petes de los programas en la caché de Google?


Éste es un clic malo, te vas a infectar de malware
¿O dejar código antiguo indexado en la caché con valores raros raros en los parámetros por GET? ¿Y si fueran sensibles?


Al final te infectas y luego dirás que ha sido Windows
Yo creo que los XSS no persistentes están para… llenar unas risas con los coleguillas por el Messenger y el feisbuk y ya está, ¿no?

Saludos Malignos!