Слабость эта восходит к RFC 2965, согласно которому браузеры позволяют поддоменам устанавливать и читать куки, установленные доменами верхнего уровня. И если кука в поддомене не существует, вместо нее следует использовать куку родительского домена. В тривиальных случаях типа www.bugtraq.ru/bugtraq.ru удобство этого подхода очевидно, но в ситуациях, когда на поддомене расположен другой сайт (а такое происходит сплошь и рядом - вынос второстепенных функций, предоставление поддомена пользователям и т.п.), появляется возможность перехвата кук родительского сайта либо в результате злонамеренных действий владельца дочернего, либо в результате его ошибки, приводящей к потенциальному XSS.

Бейли привел несколько примеров реальных сайтов, страдающих от этого подхода - так, XSS на www.advertising.expedia.com позволяла внедрять куки на expedia.com, а поскольку там еще и с фильтрацией не задалось, в конечном итоге внедрять в страницы expedia.com произвольный javascript.

Источник: The Register

теги: xss, retro  |  предложить новость  |  обсудить  |  все отзывы (0)

[10166]

назад «  » вперед

аналогичные материалы 50 лет Ethernet // 22.05.23 18:51 50 лет электронной почте // 02.10.21 00:00 HP закрыла 16-летнюю уязвимость в драйверах принтеров // 20.07.21 15:14 Десятилетняя уязвимость в sudo // 27.01.21 12:25 Имя компании как средство XSS-атаки // 30.10.20 17:01 Серьёзная атака на инфраструктуру OpenPGP // 02.07.19 16:39 Некоторые пароли от G Suite хранились в открытом виде // 22.05.19 02:14

последние новостиBugTraq.Ru: последние новости Китайский прорыв из ESXi // 10.01.26 00:20 С наступающим // 31.12.25 23:59 libmdbx => MithrilDB // 30.12.25 17:49 700 с лишним git-серверов пострадало из-за атаки нулевого дня на Gogs // 11.12.25 23:47 От повторного пришествия Шаи-Хулуда пострадало 25 с лишним тысяч разработчиков // 25.11.25 13:42 Крупный сбой Azure и других сервисов Microsoft // 29.10.25 20:02 Серьезный сбой AWS положил множество сервисов // 20.10.25 12:57