¿XSS sigue siendo un riesgo si su sitio no permite que los usuarios inicien sesión?

Estamos a punto de lanzar un sitio de cara al público y el equipo de revisión de seguridad ha vuelto con una vulnerabilidad XSS. Es esencialmente un sitio de folletos: no hay inicios de sesión y no se muestra públicamente la información enviada por el usuario.

¿XSS sigue siendo algo que debería preocuparnos?

preguntado el 08 de enero de 11 a las 18:01

Si los usuarios no pueden enviar ningún dato, XSS es imposible. -

¿Qué pasa con los ataques no persistentes? es decir, crear una URL a la página vulnerable en el sitio y atraer a otro usuario para que visite esa URL con la intención de robar su información. -

@Kirk Woll, si el equipo de seguridad ha vuelto con un exploit funcional, entonces probablemente sea posible en este sitio. -

2 Respuestas

, XSS permite a los piratas informáticos controlar el contenido de su sitio y normalmente requiere una sola función para solucionarlo. Se necesita menos esfuerzo para solucionar este problema que publicar esta pregunta en SO al respecto.

Digamos que usted es Fox News, alguien podría usar XSS para fabricar la noticia. Además, podría usarse para entregar un ataque de disco por descarga a sus usuarios. En su caso, alguien podría crear un folleto falso con afirmaciones escandalosas.

Respondido el 08 de enero de 11 a las 21:01

¿Podría explicar cómo se haría esto con un vector no persistente? - ScottE

@ScottE, mediante el uso de servicios de URL corta para ocultar el vector XSS y enviar (masivamente) la URL por correo. Alternativamente, puede hacer lo mismo cargando la página fox dentro de un iframe de 100% - Henry

¿Los servicios de URL cortas realmente permiten que alguien use etiquetas de script (o su equivalente)? - ScottE

@Henri gracias, tienes razón. y a los servicios de URL cortas de @ScottE normalmente no les importa cuál es la URL, excepto quizás mcaf.ee. Además, no se olvide de digg / reddit / slashdot. - torre

Sí, no es necesario que las vulnerabilidades XSS se centren en los datos del usuario. Se pueden utilizar para convertir su sitio en un sitio de distribución de malware. Imagínese, un atacante coloca un XSS que muestra una alerta que dice "Su computadora puede tener un virus", e inicia una descarga para el escáner de virus falso de algún estafador. Los usuarios que caigan en la estafa lo culparán.

Respondido el 08 de enero de 11 a las 22:01

No es la respuesta que estás buscando? Examinar otras preguntas etiquetadas or haz tu propia pregunta.