Вернуться   SEO форум - оптимизация и продвижение сайтов > Web разработки > Безопасность

Важная информация
Безопасность - Помощь в обнаружении и удалении вредоносного кода с сайта. Устранение последствий взлома. Все о веб безопасности.

Ответ
 
Опции темы Оценить тему Опции просмотра
Старый 05.01.2014, 13:43   #1
 
Аватар для krig
 
Сообщений: 25
FR (активность): 748

Доп. информация
По умолчанию Автор темы Что такое /?admin=XSS

Всем привет!
Смотрел статистику своего сайта в Гугле и обнаружил такое замечание:
Что такое /?admin=XSS-xss.gif
Подскажите, пожалуйста, что означает /?admin=XSS
krig вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Старый 05.01.2014, 16:48   #2
 
Аватар для Dr. Green
 
Сообщений: 82
FR (активность): 1,679

Доп. информация
По умолчанию

XSS Это тип уязвимости (атаки), межсайтовый скриптинг. Другими словами это когда вы заставляете чужой сайт выполнять нужные вам действия, например украсть куки пользователя, ну или админа. А потом получить доступ к его учетке.
Расписывать возможности скриптинга не буду есть куча тем на ачате, хакепе и во всем рунете, как правило новички начинают свои азы с xss уязвимостей.

Раньше еще была инфа мол можно наскребсти обратных ссылок с траст сайтов за счет этой уязвимости,

Чуть подробнее, например на сайте *****-****.ru есть поиск, в поиск на сайте вводим
<script>alert('XSS');</script>
И если на сайте жертвы нету фильтрации запросов, то этот скрипт заставляет вывести сообщение на сайте с словом xss

В данном случае мы пишем <SCRIPT>alert('Продажа авто по выгодной цене Москва www.avito.ru');</SCRIPT>

и нам выдает новую страницу с нашим запросом на сайте *****-****.ru
Продажа авто по выгодной цене Москва www.avito.ru

и мол если проиндексировать то прокатит, но я этой сказки не застал), не пашет)

пост написал сугубо с ознакомительными целями
если кому есть что добавить буду рад )))


«Сейчас самое время»
Dr. Green вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Старый 05.01.2014, 17:27   #3
 
Аватар для krig
 
Сообщений: 25
FR (активность): 748

Доп. информация
По умолчанию Автор темы

Спасибо, об этом я прочитал. Я хотел бы узнать, что означает наличие двух главных страниц, адрес одной из которых отображается подобным образом. Откуда взялась вторая страница с добавкой /?admin=XSS. Значит ли это, что сайт взломан или заражен и как с этим бороться?
krig вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Старый 05.01.2014, 18:38   #4
 
Аватар для Dr. Green
 
Сообщений: 82
FR (активность): 1,679

Доп. информация
По умолчанию

Цитата:
Сообщение от krig Посмотреть сообщение
Спасибо, об этом я прочитал. Я хотел бы узнать, что означает наличие двух главных страниц, адрес одной из которых отображается подобным образом. Откуда взялась вторая страница с добавкой /?admin=XSS. Значит ли это, что сайт взломан или заражен и как с этим бороться?
с таким не сталкивался, сча узнаем)
скопируйте правой кнопкой ссылку вложите сюда, если хотите перейти по ней то через инкогнито, режим браузера Ctrl+Shift+N


«Сейчас самое время»
Dr. Green вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Старый 06.01.2014, 01:37   #5
 
Аватар для cthulchu
 
Сообщений: 3,708
FR (активность): 120,615

Доп. информация
По умолчанию

я уже понял, в чем дело.


Автор, почему страницы "две" перевразируйте. обьясните, что значит, "две"? где вы, вообще, увидели второй адрес? в логе апача, или у себя в админке?
зы
тобишь, хсс - это внедрение своего жабаскрипта. и то, не внедрение, скорее, а добавление в исходник толькочто сгенеренной страницы? и что можно сделать с хсс на страницах, на которые никто никогда не попадет? хакер же их сам генерит и код клиентский выполняется на стороне хакера, не? Можно, наверное, как-то извратиться и дать жертве ссылку на хсс, чтобы своровать ее куки, но это как-то геморно и ссылка будет явно палевом.
cthulchu вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Старый 06.01.2014, 02:51   #6
 
Аватар для Dr. Green
 
Сообщений: 82
FR (активность): 1,679

Доп. информация
По умолчанию

Цитата:
Сообщение от cthulchu Посмотреть сообщение
и что можно сделать с хсс на страницах, на которые никто никогда не попадет? хакер же их сам генерит и код клиентский выполняется на стороне хакера, не? Можно, наверное, как-то извратиться и дать жертве ссылку на хсс, чтобы своровать ее куки, но это как-то геморно и ссылка будет явно палевом.
Что-то мне навеяло...

Есть (XSS черви) у которых есть своя админка, и админка может висеть на сайте жертвы, только раскидывать её вот так
"admin=xss" =) будет только...

даже для DDOS атак используют Межсайтовый скриптинг. Да для всего.. просторы ума безграничны!
cthulchu ну вы знаете не меньше меня....


«Сейчас самое время»
Dr. Green вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Старый 10.01.2014, 13:46   #7
 
Аватар для mh-seo
 
Сообщений: 55
FR (активность): 7,084

Доп. информация
По умолчанию

Цитата:
Сообщение от cthulchu Посмотреть сообщение
я уже понял, в чем дело.


Автор, почему страницы "две" перевразируйте. обьясните, что значит, "две"? где вы, вообще, увидели второй адрес? в логе апача, или у себя в админке?
зы
тобишь, хсс - это внедрение своего жабаскрипта. и то, не внедрение, скорее, а добавление в исходник толькочто сгенеренной страницы? и что можно сделать с хсс на страницах, на которые никто никогда не попадет? хакер же их сам генерит и код клиентский выполняется на стороне хакера, не? Можно, наверное, как-то извратиться и дать жертве ссылку на хсс, чтобы своровать ее куки, но это как-то геморно и ссылка будет явно палевом.

Ну почемуже палевом? вполне обычна ссылка, никто не мешает сделать так

<a href = "http://www.seocafe.info/newreply.php?do=newreply&p=257025-----очень страшная ссылка">совсем не страшный анкор</a>


и вовсе не геморно, а очень даже используется на практике, особенно если через xss подгрузить код и сделать csrf атаку(для смены пароля или загрузки шелла\бекдора), то будет вобще всё в шиколаде, особенно хорошо если такая дыра в паблик движке, тогда бонально пишется спамер обратной связи и ломаются сайты пачками
mh-seo вне форума  
Ответить с цитированием Сказать Плохо за это бесполезное сообщение Быстрый ответ на это сообщение
Ответ

Метки
/?admin=xss

Быстрый ответ
Ваше имя пользователя: Регистрация. Для входа нажмите здесь
Случайный вопрос

Сообщение:
Опции
Внимание!
Этой теме более 3048 дней. Вы можете оставить сообщение здесь. Но, обращаем внимание. Возможно, рациональней создать новую тему (найти свежее обсуждение)?


Опции темы
Опции просмотра Оценка этой теме
Оценка этой теме:

Ваши права в разделе
Вы не можете создавать новые темы
Вы можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Почему cлужба http://ping-admin.ru/ обвиняет мой сайт (googlesite) в содержании атрибута "nofollow? Roxan Продвижение ссылками 6 10.04.2013 10:04
Что лучше team viewer или ammy admin sof Программы и техника 5 08.09.2012 11:36
admin.php... Выезжающий текст через 3 секунды psychomonkey Безопасность 5 05.05.2012 10:09
Вопрос по Weaver admin Римлянин Раскрутка в общих чертах 0 10.02.2012 01:03
Что такое АП? slava78 Мусорка 2 25.04.2011 19:06

Текущее время: 09:20. Часовой пояс GMT +3.