Naslednja novica bo: Hekerji vdrli v Banko Koper

Ne vem, ali me paranoja daje z razlogom ali ne, ampak danes sem ugotovila, da lahko v obrazcu, ki načeloma izgleda kot text-only iz BankeIN bančnikom pošiljam vprašanja tipa:

<style type="text/css">body { background-color:#ff0000; } </style>

(lahko pošljem screenshot), torej moram samo še ugotoviti, kako naredim javascript injection in naredim kakšno plačilo tako napočez.

Z novimi vrsticami ti kar oni pomagajo in namesto tebe sredi pisanja vprašanja vstavijo <br/> in nasploh je njihov JavaScript support obupen. Bi me moralo skrbeti? (Ne vem, čigave kalkulatorčke sicer ponuja Banka Koper, ampak RSA-ju so itak že odtujili ključe.)

we are screwed :D

Če so vsi posebni HTML znaki ustrezno escape-ani, potem načeloma ni nič narobe s tem. Sicer pa sam HTML je samo statičen pogled, ki ti ga vrne strežnik, lahko bi ti recimo vrnil Wordov dokument. Ta dokument bi lahko spreminjal, če bi hotel, tako kot lahko spreminjaš HTML.

Najbolj pomembni so podatki, ki se pošljejo nazaj na strežnik, ko pritisneš kak gumb in podobno. Te mora spodobna aplikacija preveriti za razne možne zlorabe (SQL Injection, zgoraj navedena HTML koda) in jih ustrezno sanirati.

Verjetno uporabljajo kakšno knjižnico, ki odstrani vse HTML značke, razen tistih, ki jih posebej dovolijo.

Torej: nobenega preverjanja za </html>, le da browser to ignorira in kljub vsemu prikaže preostanek strani. Ja, vem, vstavljanje html kode načeloma ni škodljivo, ampak če so bili tako šlampasti, da se še v text-only oknu ne znajo zaščitit, to pri meni vzbuja hude dvome v kompetenco razvijalcev portala. Zaenkrat ne bom testirala, kaj se zgodi, če začnem vnašati ">? drop database ...", ker ne bi rada ostala brez dostopa do svojega računa (razen če me prosijo za to) in tega ne znam početi anonimno.

Kakorkoli: tu je screenshot.


Škoda samo, da sem pomotoma pustila prazne vrstice pri nastavljanju ozadja strani (te so bile zamenjane z <br>), sicer bi bila stran v celoti rdeča.

No, ne bi si upala reči, da mi ravno nič ne morejo. Vseeno bi bilo bolj vljudno, če mi dajo dovoljenje za testiranje.

Mislim, da sem JS testirala z

<script type="text/javascript" language="javascript">

vendar se pritoži, češ da so neveljavni znaki v sporočilu. Kako se dela xss pa nimam pojma. Tudi slike iz drugega strežnika nisem uspela naložiti.