Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Buscador

Entradas Mensuales

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Foro de elhacker.net - Noticias

elhacker.NET en Facebook

Entradas populares

PostHeaderIcon Manual con ejemplos "XSS for fun and profit"




Manual completo de lord epsylon presentado en la Summer Camp Garrotxa de 2009 (SCG09) donde se exponen todo tipo de ataques conocidos, formas de evasión de filtros, diferentes técnicas/finalidades de un atacante y una recopilación de herramientas, links, ideas y vectores válidos.




 El Cross Site Scripting (XSS) es la vulnerabilidad más explotada según la OWASP (Open Web Application Security Project)

En el XSS se manipula la entrada (input) de parámetros de una aplicación con el objetivo de obtener una salida (output) determinada que no sea la habitual al funcionamiento del sistema.

Algunas estadísticas afirman que el 90% de todos los sitios web tienen al menos una vulnerabilidad, y el 70% de todas las vulnerabilidades son XSS. A pesar de tratarse de una temática en seguridad algo antigua, aún siguen apareciendo nuevos vectores de ataque y técnicas que hacen que se encuentra en constante
evolución.

Índice


  • 1.- Introducción
  • 2.- Tipos de Ataques
    - Reflected Cross Site Scripting (XSS Reflejado)
    - Stored Cross Site Scripting (XSS Persistente)
    - DOM Cross Site Scripting (DOM XSS)
    - Cross Site Flashing (XSF)
    - Cross Site Request/Reference Forgery (CSRF)
    - Cross Frame Scripting (XFS)
    - Cross Zone Scripting (XZS)
    - Cross Agent Scripting (XAS)
    - Cross Referer Scripting (XRS)
    - Denial of Service (XSSDoS)
    - Flash! Attack
    - Induced XSS
    - Image Scripting
    - anti-DNS Pinning
    - IMAP3 XSS
    - MHTML XSS
    - Expect Vulnerability
  • 3.- Evitando Filtros
  • 4.- PoC examples - Bypassing filters
    - Data Control PoC
    - Frame Jacking PoC
  • 5.- Técnicas de ataque
    + Classic XSS - Robando “cookies”
    + XSS Proxy
    + XSS Shell
    + Ajax Exploitation
    + XSS Virus / Worms
    + Router jacking
    + WAN Browser hijacking
    - DNS cache poison
    - XSS Injected code on server
    - Practical Browser Hijacking
  • 6.- XSS Cheats - Fuzz Vectors
  • 7.- Screenshots
  • 8.- Herramientas
  • 9.- Links
  • 10.- Bibliografía
  • 11.- Licencia de uso
  • 12.- Autor


Lord Epsylon - XSSer, the cross site scripting framework



Lord Epsylon – XSSer, the cross site scripting framework - See more at: http://www.cyberhades.com/tag/2012/#sthash.sNGJAS70.dpuf
 XSSer es un framework de código libre escrito en python, que permite la automatización de procesos de detección, explotación y publicación de inyecciones de código “scripting”. Contiene diversas técnicas, tanto para evadir filtros, cómo para explotar código sobre vulnerabilidades de tipo XSS. En la presentación se mostrará la historia y evolución del proyecto, así cómo, una relación de todas las posibilidades que permite la herramienta, tanto desde el punto de vista de un auditor de seguridad profesional, cómo para aquellas personas que apenas tengan conocimientos.
Lord Epsylon – XSSer, the cross site scripting framework - See more at: http://www.cyberhades.com/tag/2012/#sthash.sNGJAS70.dpuf

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.