Inline JS v HTML; varnost, XSS, ... @ Slo-Tech

Forum » Programiranje »
Inline JS v HTML; varnost, XSS, ...

Inline JS v HTML; varnost, XSS, ...

HotBurek :: 30. okt 2019, 11:27

Evo, ideja je, da ko klient naredi HTTP GET request za HTML vsebino, strežnik dinamično doda JS vsebino v sam HTML file. Tako klient naredi samo en request, v keterem dobi HTML+JS.

Zasledil sem sicer opcijo, kjer to omogoča že web strežnik ( https://www.modpagespeed.com/doc/filter... ). Sam bom to sicer rešil programsko.

So pa včeraj na okno prišle sinice (kdo bi si mislil, ane), in so čivkale, da je tako početje (JS inline v HTML) lahko ne najbolj varno v kontekstu varnosti, XSS.

Zanima me, na kaj je potrebno pazit oz. kaj lahko gre narobe?

JS vsebino bi pisal na koncu tik pred /body tag-om.

root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

smacker :: 30. okt 2019, 12:53

Ne vidim, kak bi lahko bil internal JS kakorkoli manj varen od external JS. Upoštevaj pa, da se JS fajli običajno cachirajo v browserju, torej se posledično nalagajo samo ob prvem obisku strani. Tako da ni nujno da boš s tem ravno zmanjšal server load in page load time.

grimth :: 30. okt 2019, 13:23

Temu se reče server side rendering, ne samo da ta inline js ne bo pristal v GET cache shrambi, ampak bo najverjetneje browser moral tudi vsakič parsat in naredit eval kode ob vsakem GET requestu. (odvisno od browserja). Chrome V8 sicer zna povezati inline js kodo z parent dokumentom ampak nastane parsan cache take inline kode samo če se dokument ne spremeni (zaradi hashov) in ta cache ni prenosljiv na druge strani tudi če gre za isto kodo.

Varnost je odvisna od same js kode in ne od tega kje je vključena v dokument.

Zgodovina sprememb…

spremenilo: grimth (30. okt 2019 ob 13:24)

MrStein :: 30. okt 2019, 22:09

smacker je 30. okt 2019 ob 12:53 izjavil:

Ne vidim, kak bi lahko bil internal JS kakorkoli manj varen od external JS.

Vpiši ime: ==> $ime

Pozdravljen, $ime!

Če imaš enablan interni JS, si s tem dobil XSS.
Če ima dovoljene samo eksterne, pa so taki (in veliko drugih) XSS blokirani.

(dovoliš/ne-dovoliš recimo s Content Security Policy (CSP))

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

spremenil: MrStein (30. okt 2019 ob 22:09)

HotBurek :: 31. okt 2019, 13:52

MrStein, a lahko napišeš kak simple sample, kako to z $ime deluje?

root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

MrStein :: 31. okt 2019, 13:54

Kaj a v življenju nisi HTML strani naredil????
To je najosnovnejša stvar (takoj po strogo statičnih straneh).

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

MH0 :: 31. okt 2019, 14:01

MITM ne more spremeniti CSP? Sem bos na tem področju.

HotBurek :: 31. okt 2019, 15:00

Tega ne vem, kam naj to vpišem?

Vpiši ime: ==> $ime
Pozdravljen, $ime!

<div> ==> $ime</div>

<script> ==> $ime</script>

root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

smacker :: 31. okt 2019, 15:25

Pusti trola. Dolar pa JS... je vse povedal.

Matek :: 31. okt 2019, 15:41

Nah, sej ma point, problem je sledeč:

- Velika večina XSS tehnik se zanaša na to, da injectajo inline script tag nekam v stran.
- Proti temu se lahko zaščitiš s CSP-jem, ki preprečuje izvajanje inline JavaScripta.
- Tega varnostnega mehanizma seveda ne moreš uporabiti, če hočeš inlineati svoj legit JS.

Z drugimi besedami - ni problem tvoj inlinan JS, problem je, da sploh omogočaš inline JS.

Se pa absolutno pridružujem komentarjem, da omenjena optimizacija ni veliko vredna. Browser cache je en argument, drugi je HTTP2 - če ga tvoj server podpira, dodaten request praktično ne predstavlja več overheada.

Iz radovednosti - koliko requestov se trenutno zgodi ob nalaganju tvoje strani in koliko je skupna količina prenesenih podatkov?

Bolje ispasti glup nego iz aviona.

smacker :: 31. okt 2019, 17:40

Ok, razumem pomislek. Ampak če ti nekdo lahko injecta lastno kodo na tvoj page, maš hud problem nekje drugje in CSP ne preprečuje vseh napadov, ki so v tem primeru možni.

Spura :: 31. okt 2019, 19:28

Matek je 31. okt 2019 ob 15:41 izjavil:

Nah, sej ma point, problem je sledeč:

- Velika večina XSS tehnik se zanaša na to, da injectajo inline script tag nekam v stran.
- Proti temu se lahko zaščitiš s CSP-jem, ki preprečuje izvajanje inline JavaScripta.
- Tega varnostnega mehanizma seveda ne moreš uporabiti, če hočeš inlineati svoj legit JS.

Z drugimi besedami - ni problem tvoj inlinan JS, problem je, da sploh omogočaš inline JS.

Se pa absolutno pridružujem komentarjem, da omenjena optimizacija ni veliko vredna. Browser cache je en argument, drugi je HTTP2 - če ga tvoj server podpira, dodaten request praktično ne predstavlja več overheada.

Iz radovednosti - koliko requestov se trenutno zgodi ob nalaganju tvoje strani in koliko je skupna količina prenesenih podatkov?

Ni res da ne mores inlineat JS ce uporabljas CSP, med dovoljene origine lahko das inline skrito glede na njen hash.

MrStein :: 31. okt 2019, 19:39

smacker je 31. okt 2019 ob 17:40 izjavil:

Ok, razumem pomislek. Ampak če ti nekdo lahko injecta lastno kodo na tvoj page, maš hud problem nekje drugje in CSP ne preprečuje vseh napadov, ki so v tem primeru možni.

Nobena tehnika ne preprečuje vseh napadov.
Ene preprečujejo ene, druge pa druge.

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

HotBurek :: 31. okt 2019, 20:04

Ok, sem poizkusil z CSP-jem in uporabo script-src 'nonce-random...' ter script-src 'sha256-hash...='.

Uspelo mi je postavit do te mere, da ja delal inline CSS, ter inline JS, a le-ta (JS) je delal samo na osnovni strani in mi ni uspelo pogruntat, zakaj ne dela nikjer drugje. Zdej sem šel nazaj, in imam lepo inline CSS in JS, ter sledeč CSP header config v nginx:

add_header Content-Security-Policy "default-src 'none'; style-src 'unsafe-inline'; script-src 'unsafe-inline'; img-src 'self'; connect-src 'self'";

Zdej me pa zanima, kako potestirat XSS za primer elemnta INPUT in TEXTAREA? Kaj naj notri vnesem, da ko bo browser to prebral, da bo tretiral vnešen string kot kodo (in jo izvedel)?

Sem na hitro postavil tale filter:

input = input.replace("<", "&lt;");
input = input.replace("%3C", "&lt;");
input = input.replace("%3c", "&lt;");
input = input.replace(">", "&gt;");
input = input.replace("%3E", "&gt;");
input = input.replace("%3e", "&gt;");
input = input.replace("&", "&amp;");
input = input.replace("%26", "&amp;");
input = input.replace("\"", "&quot;");
input = input.replace("%22", "&quot;");

root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

Zgodovina sprememb…

spremenilo: HotBurek (31. okt 2019 ob 20:05)

MrStein :: 31. okt 2019, 21:45

Pivo tistemu, ki opazi napako.

PS: tista beseda "unsafe" je tam z razlogom

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

spremenil: MrStein (31. okt 2019 ob 21:45)

MrStein :: 31. okt 2019, 22:08

HotBurek je 31. okt 2019 ob 20:04 izjavil:

Ok, sem poizkusil z CSP-jem in uporabo ...

Če se tvoje celotno sporočilo citira, ga ni mogoče oddati.
Torej tudi izkušeni programerji pri tem delajo napake.
Tako da ne gre tu za hece in "teoretične" zadeve.

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

spremenil: MrStein (31. okt 2019 ob 22:09)

smacker :: 31. okt 2019, 23:40

Slo-tech zazna illegal character => zavrne submit. Ni user friendly, je pa učinkovito.
@HotBurek: Takih filtrov ne piši sam, uporabi vgrajene knjižnice (išči html escape/encode). V tvojem filtru si pozabil kup znakov + dodal bug - replace "&" v "&" ti bo replacal tudi '&' v prejšnjih escapanih kodah.

jernejl :: 1. nov 2019, 00:49

smacker je 31. okt 2019 ob 23:40 izjavil:

replace "&" v "&" ti bo replacal tudi '&' v prejšnjih escapanih kodah.

Ne bo tako hudo, zamenjala se bo zgolj prva pojavitev :))

HotBurek :: 1. nov 2019, 10:50

Evo, sem porihtal in je sedaj tako.

JS na client strani naredi POST s tekstom:

xhr.send("tekst=" + encodeURIComponent(tekst));

Na serverju Python naredi replace (tu sem popravil, da je replace za & na prvem mestu):

# simple fix
input = input.replace("&", "&amp;");
input = input.replace("%26", "&amp;");
input = input.replace("<", "&lt;");
input = input.replace("%3C", "&lt;");
input = input.replace("%3c", "&lt;");
input = input.replace(">", "&gt;");
input = input.replace("%3E", "&gt;");
input = input.replace("%3e", "&gt;");
input = input.replace("\"", "&quot;");
input = input.replace("%22", "&quot;");
input = input.replace("'", "&apos;");
input = input.replace("%27", "&apos;");

Vsebina je shranjena v MongoDB:

"tekst" : "&lt;%0A&gt;%0A&apos;%0A&quot;%0A&amp;%0A%C3%A4%C3%B6%C3%BC%C3%9F%C3%A1%C3%A0"

Pri branju Python naredi unquote:

tekst = urllib.parse.unquote(mongoitem["tekst"]);

Za vnešeni tekst v brskalniku:

< > ' " & ä ö ü ß á a

Je potem pri branju response:

&lt; &gt; &apos; &quot; &amp; ä ö ü ß á a

root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

Zgodovina sprememb…

spremenilo: HotBurek (1. nov 2019 ob 10:51)

Matek :: 1. nov 2019, 10:55

Kot ti je rekel smacker - ne sam pisat tovrstnih replaceov, uporabi dobro vzdrževano eksterno knjižnico.

Bolje ispasti glup nego iz aviona.

smacker :: 1. nov 2019, 12:25

Najprej naredi url decode, potem pa stripaj html tage . Ne pozabi na NoSQL injection.

Zgodovina sprememb…

spremenil: smacker (1. nov 2019 ob 12:30)

MrStein :: 1. nov 2019, 12:48

' ni HTML entiteta.*

Bi opazil, če bi ga testiral. Zato pa:

1) uporabi že preverjeno delujoči knjižnico za to

Drugič: glej točko 1

* - so ga dodali v HTML5, torej ponekod bo delal, ponekod ne

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

spremenil: MrStein (1. nov 2019 ob 12:53)

Vredno ogleda ...

	Tema	Sporočila	Ogledi	Zadnje sporočilo
	Tema	Sporočila	Ogledi	Zadnje sporočilo
»	Davčne blagajne (strani: 1 2 3 4 … 24 25 26 27 ) PrimozHisof Oddelek: Programiranje	1344	319102 (59105)	Macketina 3. maj 2021 03:25:34
»	Javascript DOM based XSS vulnerability Joze_K Oddelek: Programiranje	15	2478 (1900)	MrStein 14. feb 2020 21:52:33
»	Content-Security-Policy problem poweroff Oddelek: Izdelava spletišč	5	1448 (1265)	poweroff 14. mar 2018 21:27:20
»	[PHP][HTML]Pošiljanje maila iz PHP - TextBoxForm, SubmitButton, mail() v php AštiriL Oddelek: Programiranje	10	695 (431)	Excavator 4. nov 2017 18:46:31
»	Dev-C++ in napaka pri prevajanju funkcij DanKick Oddelek: Programiranje	18	1042 (891)	MartnKrp 4. mar 2004 11:26:14

Več podobnih tem

Zadnje novice

Zadnji članki

Išči:

Forum » Programiranje »
Inline JS v HTML; varnost, XSS, ...

Inline JS v HTML; varnost, XSS, ...