SSTIC 2011 - XSSFramework
Une présentation sur un framework de démonstration et d’exploitation de XSS.
L’objectif est de démontrer le risque d’un XSS à une équipe de développeurs.
On à le droit à un petit rappel de l’existant en terme d’exploitation de XSS pour porter une payload dans le navigateur de la victime, et aux problématiques de SOP (Same Origin Policy) qui « limitent » l’impact d’un XSS.
Le mécanisme d’échange entre le serveur et la victime se base principalement sur l’inclusion du script malicieux via une iFrame par exemple, ce qui permet de briser la SOP. Html5 vient ici fournir des outils supplémentaires pour contourner la SOP (websocket).
S’en suit une présentation du framework et de son fonctionnement dans Metasploit, et une démonstration d’un XSS sur le forum du SSTIC, et son exploitation sur un browser android. Sympa. Après on a le droit à la partie tunneling (classique) pour démontrer qu’on peut faire beaucoup de chose avec un XSS sur une application interne.
Rien de neuf sous le soleil, mais un bon petit outil pour des démo/pentests.
