lunes, 18 de febrero de 2013

XSS en Series.ly y un interesante vector

Hola a todos!
Hoy os traigo un XSS no persistente en Series.ly. Esta vulnerabilidad se encuentra en el buscador.
El vector usado es el siguiente:
'};alert('segura201093');</script>

Aquí una imagen con la que se ve claramente lo que ocurre:

Como podéis ver, estamos dentro de un script, asique simplemente cerramos la comilla y la llave. De este modo, podemos añadir nuestro código Javascript y ejecutarlo. Cerramos la parte de javascript con la etiqueta "</script>" para que se ejecute nuestro código, y que no de error al encontrar lo que le seguía a la variable que cerramos.

Quería comentar este vector, por que me parece interesante, y por que he visto algunos vectores del tipo:
";</script><script>alert(1);</script>

Estos vectores debo de reconocer que me parecen bastante absurdos.. ya que si lo que quieres es ejecutar javascript me parece absurdo que quieras salir del código javascript para después volver a hacerte uno tu.. Además si aprovechas que ya estás dentro de un script evitas los problemas del AntiXSS de Chrome.. Hay muchas webs vulnerables a este vector XSS, ya que nos meten la cadena de busqueda en un script para trabajar con ella. De manera que aunque pensemos que no se produce un XSS, si nos fijamos en el código fuente podemos crearnos nuestro vectores de ataque que funcionen correctamente en la web que queremos. Por eso lo que recomiendo es saber que estáis haciendo y mirar bien las partes del código en las que se incluye nuestra cadena de texto. De esta manera podremos crear nuestros propios vectores que si que pueden funcionar en la aplicación.

Cada web tiene sus características  así que puede que un vector no funcione, pero si sabes que hace la web, puedes hacerte un vector bueno ;)

Y ya sabéis, si estáis dentro de un script no cerréis para luego volver a abrir el vuestro.. Aprovechad las facilidades que ya nos dan!

IMPORTANTE: La vulnerabilidad en Series.ly fue reportada pero no he recibido respuesta ni ha sido reparada. Así que no me hago responsable de lo que hagan los lectores con los conocimientos que se muestran aquí.

Espero les haya gustado y gracias por leer. :)

miércoles, 6 de febrero de 2013

API de Tuenti en Python!

Buenas Tardes a todos!
Hace algún tiempo que llevo preparando una API en Python para Tuenti. Ya esta bastante avanzada y he decidido sacarla hoy para que todo el que quiera pueda usarla!

Acepto criticas constructivas. No soy experto en Python y hacer esta API ha sido una excusa para ir aprendiendo este lenguaje. Quizá sea mejorable, y haya formas mas fáciles de hacer las cosas e incluso estoy seguro de que puede mejorarse mucho esta API. Así que todo el que tenga ideas y mejoras para la API serán bien recibidas para mejorar todo lo posible la API.

Espero que les sea útil y espero que escriban comentando si les ha servido, o si creen que algo puede mejorarse o añadirse algo.

Les dejo el link para que puedan ver mi trabajo: Tuenti for Python

Muchas Gracias por leer!