Ataque XSS: Herramienta Poderosa

Frecuentemente se clasifican algunas vulnerabilidades XSS como inútiles o no tan importantes. Pero de acuerdo a quienes investigan más a fondo en este tema, indican que todo depende de la capacidad del navegador y del hacker.

A simple vista parece que lo único que se podría hacer implicaría robar sesiones, información de cookies o phishing, entre otros.

En esta ocasión, ha aparecido una vulnerabilidad que ataca a vBSEO, un plugin para vBulletin, la cual permite al atacante introducir scripts persistentes mediante linkbacks.

En resumen, el atacante crea un código HTML malicioso, luego este hace un clic al enlace hacia el foro de destino con vBSEO instalado, y cuando el destino es alcanzado, vBSEO ejecuta una petición GET hacia el código HTML malicioso (si es que se encuentra en línea y si los RefBacks están habilitados.)

Después de eso, el título de la página es cargado directamente en la base de datos, de modo que el administrador del foro puede verlo sin problemas en el tema respectivo, pero ya los paneles de administrador y de moderador han cargado el código malicioso, permitiendo así ejecutar todo el script.

Aquí un vídeo sobre la demostración de la vulnerabilidad:

Para más información sobre este tema, así como las posibles aplicaciones, pueden seguir el siguiente enlace, como también este enlace. Asimismo, también es recomendable especialmente para administradores de foros que deseen implementar la seguridad en sus sitios.