Stack Overflow на русском

Victor VosMottor

2:58 PM

@Grundy, @Qwertiy ru.meta.stackoverflow.com/questions/11319/…

Можете вопрос восстановить?

Qwertiy

3:30 PM

@VictorVosMottor уточню в мод-чате

Victor VosMottor

3:46 PM

@Qwertiy Спасибо ;)

SmokeDetector

5:09 PM

[ SmokeDetector | MS ] Link at beginning of answer (34): Выделение памяти в си (более 4Гб) by Andro 1 on ru.stackoverflow.com

entithat

6:16 PM

Как вы думаете, подходит ли сюда sql injections, кроме как reflected xss?

andreymal

8:16 PM

На мой взгляд это выглядит как инъекция в шелл, если веб-сервер выполняет что-то в стиле bash -c /path/to/cgi-bin/$scriptname

Qwertiy

8:49 PM

@VictorVosMottor восстановил

Victor VosMottor

@Qwertiy Спасибо ;)

Qwertiy

@entithat это точно не sql

и вообще, выполнение команд через get-запросы вроде ни к чему из перечисленного не относится

может csrf

остальное вообще не в тему, т. к. ресурс принадлежит хакеру

entithat

9:12 PM

@Qwertiy но например reflected xss, там же параметр в гет запросе может потом где-то выводиться и если я передам что-то типа ?param=<script>..., то это уже считается как изьян

@andreymal если так, то тут нет подходящего :(

правда не понтно, что имеется в виду под ;COMMAND

avp

@entithat судя по этому описанию ru.wikipedia.org/wiki/… как раз sql-injection (хотя самого sql там и в помине нет) подходит больше всего

entithat

@avp ну мне тоже так показалось, что речь тут о нем, хотя и нигде не упомянуто о бд. Но теперь вопрос стоит подходит ли reflected xss xD

avp

@entithat в любом случае это атака из семейства "Инъекция кода"

entithat

9:27 PM

@avp они все тут из этого семейства

avp

@entithat я не думаю, что это может быть XSS (cross site scripting), поскольку нескольких сайтов (я так понимаю, что это отличительная черта XSS) тут нету

entithat

@avp я что-то уже столько начитался, что уже ничего не понимаю. Вопрос такой с подвохом, мало информации. Вообще не понятно что за сервер, что внутри.

С одной стороны да, но с другой, вроде же не обязательно должно быть два сайта.

avp

"XSS — тип атаки на веб-системы, заключающийся во внедрении в выдаваемую веб-системой страницу вредоносного кода и взаимодействии этого кода с веб-сервером злоумышленника." -- это же явно не ваш случай

Значит и все разновидности XSS не подходят

Я не спец в атаках. Просто пытаюсь рассуждать логически, отбрасывать неверные варианты.

entithat

portswigger.net/web-security/cross-site-scripting/reflected

Пример вот. Тут и не надо сервер атакера и сайтов никаких. Только наш, который будет подвержен атаке

Что-то жесткий этот экзамен. Никто не сдал с другого курса :)

avp

9:44 PM

@entithat приведенный вами пример противоречит определению из вики. Т.е. в определении из вики главное в XSS, это выполнение на сайте злоумышленника. В вашем же примере исполнение внедренного скрипта происходит на целевом сайте. Так что, тут пусть спецы в именовании явлений разбираются.

entithat

вот мне надо стать таким до послезавтра))

avp

Вообще, экзамены в виде выбора из набора ответов это отстой. Неправильный путь в образовании

2

Надо знать как составитель этих вопросов думал, а не как все есть на самом деле

entithat

Тоже так думаю. Но у нас есть лекции и есть лабораторные. И это по сути совмещено. Так вот на лабораторных там делают то, что с выклада учили, т.е. подкрепляют теорию практикой. Но мне к сожалению не повезло, я выбрал разных преподов, на лабораторной дичь какую-то делали.

Вот у меня еще был предмет один, веб технологии. Ужас просто, презентации за 2012 год. Учили какой-то JSP (java server pages + facelets). Вообще бред, как по мне. Мне кажется, только я и делал эти лабы. Все уже положили были на них

Прикольная штука, чисто по приколу посмотреть, что такое существует и как делать не надо.Но в жизни я бы глянул в глаза тем, кто это использует.. Если бы они еще видели меня

avp

Если подумать, то если вы привели пример с рекомендованного в лекциях источника, то выбирайте XSS

entithat

Та я на лекциях не был, это сайт какой-то первый в интернете.
Но на англ вики пишет так: Cross-site scripting (XSS) is a type of security vulnerability typically found in web applications. XSS attacks enable attackers to inject client-side scripts into web pages viewed by other users. A cross-site scripting vulnerability may be used by attackers to bypass access controls such as the same-origin policy.

avp

9:51 PM

@entithat JSP это была очень распростаненная в enterprise технология (осталась ли сейчас, не знаю)

entithat

В каком-то 2000м - да, но не в 2021 :) Когда есть уже много инструментов для упрощения такой же работы

avp

@entithat а вот это определение XSS вам подходит

entithat

Коллеги мои тоже разделились мнением.

avp

Или нет? Сайт же не web-page исполняет, а хакнутый http get/post запрос

entithat

@avp ну так в ответе сервера же может какой-то html возвращаться.

avp

9:55 PM

@entithat это очевидно, ответом сервера будет html страница

Меня вот это "scripts into web pages viewed by other users" все же напрягает

entithat

Хм

Ну если в xss только это, а не например "у текущего пользователя или у других", то не подойдет.

Читаю за stored xss, и по сути оно тоже подходит...

avp

Давайте по сути разберемся. В вашем примере предполагается, что роутер в ответ на запрос вызовет через шелл программу в cgi-bin/ и отправит в ответ ее stdout. Однако, в результате атаки он исполнит COMMAND.

Все дело в синтаксически неверном тексте, содержащим ;

entithat

Да, вот меня это ; как раз и смущает.

avp

Как-то это ни под что, кроме sql-attack, суть которой тоже в искажении текста не подходит.

Я бы все же поставил на sql

entithat

Ну возможно это опечатка, и имеется в виду просто какую-то строку вместо ;COMMAND

потому что если там обязательно должна быть ;, то это даже не сработает для sql

ага стоп

http://example.com/;?param=<script>..

avp

10:08 PM

Нет. ';' это правильно. Суть атаки именно в этом. Сервер видит, что в пути к странице есть cgi-bin/, значит по протоколу он должен выполнить программу, которай указана в этом пути. Если он тупо будет ее выполнять подсунув в шелл всю строку, то шелл найдет ';` и будет выполнять 2 команды. 1-я не выполнится, а 2-я вредоносная пойдет

Как это работает -- понятно. Как классифицировать -- не знаю.

entithat

да
вот
я что-то попутал, подумал ; не сработает.

так
я уже максимально запутался в терминологии

Короче сошлись на мнении, что это reflected xss

avp

Утро вечера мудреннее, может завтра тут кто-нибудь авторитетно ответит

entithat

думаю авторитетнее уже некуда..

Ну хорошо, еще почитаю. Спасибо

Хорошо, а еще такой вопросик

The following is some hash function candidates h'(x). h'(x) = h(h(x)) Is it collision resistant or a one-way function (could be either, none, or just one). Assume that h(x) is a crypto secure hash function.
(a) It is not one-way nor collision-resistant
(b) Collision-resistant
(c) One way

avp

@entithat с другой стороны, это тоже на пример ru.wikipedia.org/wiki/… из той же вики подходит

entithat

тут будет точно one-way, потому что из хэша назад текст не получим. Но вот вопрос будет ли это collision-resistant

@avp получается еще и csrf, потому что ссылка как-бы подготовлена.

Нашел картинку хорошую насчет csrf, правда на польском

avp

10:24 PM

@entithat CSRF это вряд ли. "CSRF — вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Если жертва заходит на сайт, созданный злоумышленником, от её лица тайно отправляется запрос на другой сервер, осуществляющий некую вредоносную операцию." Тут явно написано про запрос с одного сервера на другой.

entithat

Честно, я как бы и с этим согласен. Но и с некоторыми пунктами о csrf тоже, что он подойдет

avp

@entithat поскольку о содержимом ';COMMAND' мы не знаем, то может и csrf подойти может.

В общем, извините, не знаю, запутался в примерах

entithat

Я уже час как тоже :)

Ну в общем, спасибо

avp

@entithat если не предполагать, что тут всякое крючкотворство есть, то из примеров в самом деле reflected xss наиболее разумно выглядит

entithat

Еще бы за sql injection подумать. Просто не факт, что там сервер вообще связан с бд.

avp

10:32 PM

@entithat это верно, тем более, что в вопросе прямо написано про router

а sql без sql-я это уже близко к крючкотворству

entithat

возможно да.

avp

@entithat не думаю, что если взять хэш от хэша одной и той же функцией, то число коллизий снизится. Поэтому one-way

entithat

отлично. Просто мало ли, может есть какой-то подвох, какая-то такая одиночная функция, которая в результате дала бы неожиданный итог

avp

Коллизия -- это когда от разных исходных данных мы получаем одинаковый результат.

entithat

ну, я понимаю.

Просто не знаю как вообще придумывают эти хешфункции. Поэтому не полностью уверен

avp

10:39 PM

Потом этот результат мы передаем в ту же функцию. Нормально, если рез2 бедет тоже одинаковым. Т.е. коллизий меньше не станет

entithat

Читал дефиницию хэш-функций, то там написано так: It is a one-way function, that is, a function which is practically infeasible to invert.

which is practically infeasible to invert.

avp

Это про то, что из результата исходное значение не получить

entithat

имеется в виду невозможно инвертировать или практически невозможно?

Скорее всего точный перевод - невозможно инвертировать.

А я это воспринял, как particularly

avp

Вообще, где-то в требованиях к хэш-функции д.б., что от одного и того же аргумента должен всегда получаться одинаковый результат

@entithat я воспринимаю, как практически

entithat

это да

avp

10:45 PM

Обычно к криптографическим функциям ест еще требование, что имея результат очень трудно подобрать аргумент, который даст коллизию.

entithat

Когда-то хотел написать блокчейн, думал как эти функции пишутся.

avp

Т.е. если бы там был вариант Collision-resistant AND One Way, то нам пришлось бы туго

entithat

аха, согласен

Коллизией (иногда конфликтом[2] или столкновением) называется случай, при котором одна хеш-функция для разных входных блоков возвращает одинаковые хеш-коды.

avp

@entithat там, по моему какая-то из SHA используется, примеров кода в сети куча. Суть в перестановке бит некого начального состояния блока фиксированного размера

entithat

капец, интересно это все.

что-то на вики не пишет вымагань к этим функциям

requirements, забыл как на русском ))

avp

10:49 PM

@entithat требования

entithat

вот, да

avp

@entithat ладно, я откланиваюсь, спокойной ночи!

entithat

Спокойной ночи.

Qwertiy

11:25 PM

@entithat но эта атака на сайт, которому подставляется параметр... хотя, с натяжкой можно поставить, но как-то странненько

@avp на роутере даже sql нет, как тут может быть sql injection??

@entithat мне кажется, что на твоём скриншоте мультивыбор?

@avp ну так жертва зашла на хакерский сайт, с него отправила команду роутеру (при том, что там get, сайт мог и без пользователя отправить запрос - он бы дошёл), так что csrf тоже притягивается

@avp ну так если мы хешируем хеш, то можно переьирать не начальные значения, а хэши?

entithat

11:42 PM

@Qwertiy да. Но кто знает сколько там верных ответов..

entithat

11:52 PM

@Qwertiy так подумал, дошел до вывода, что это csrf. Там пишет If an attacker gets a local user to visit a page that somewhere includes the URL ..., а значит что пользователь перешел на страницу, где есть запрос на роутер.

Да, все. Я понял. Разобрался. Только еще не очень понимаю как предотвратить такое. Сервер должен генерировать токен и прятать его в форме или как.. щас почитаю еще

Transcript for

Stack Overflow на русском