[Из песочницы] Ещё один тип XSS-атаки на сайт
На улице сентябрь и холодает, поэтому решил не отступать перед проблемой и выбрать-таки ребёнку демисезонный костюм, попутно разобравшись в чём же дело!
Первое и очевидное, что приходит в голову — поискать явный редирект на странице. Открываю исходный код страницы в попытке найти что-нибудь такое:
Безрезультатно, к тому же это было бы слишком просто. Раз нет стандартного редиректа, следовательно он реализован средствами JS. Проверяем гипотезу отключением JS в браузере — страница загрузилась, никуда не перекидывает. При этом window.location на странице нигде не используется, подменяющего URL тоже нет. Глянем, какие ресурсы закачивает браузер:
Сразу бросается в глаза подозрительный URL, по запросу к которому возвращается HTTP код 301: is.gd/J87Pzs
По этому URL быстро находим строчку в исходниках страницы:
Отмечу, что эта строчка присутствует на всех страницах, где смотрел.
Хм, необходимо разобраться, что же такое происходит по этой ссылке: is.gd/J87Pzs.
is.gd — это типичный «ссылкоукорачиватель». За данным URL стоит следующий: home-income-business.com/sfi/i/qwe
GET-запрос на него возвращает такой контент:
function process(){ window.location = "http://подозрительный-сайт-точка-ру/"; } window.onerror = process; process()Дело уже можно было бы закрывать, как в этот момент я переключаюсь на другую точку доступа к Интернет, а проблема (внезапно) исчезает: HTTP-запрос по последнему URL в цепочке начинает возвращать пустой контент! Что за?! Переключаемся опять на другую точку доступа — зловредный код снова отдаётся. А это уже интереснее! Выходит, в зависимости от ip-адреса отдаётся разное содержимое. Как такое может быть? Например, в nginx есть специальный модуль geo, с использованием которого можно настроить подобное поведение. Содержимое HTTP-ответа косвенно подтверждает вышесказанное:
Зачем делать атаку с редиректом на другой сайт? Причин может быть множество, в том числе меркантильных, например, для осуществления нечестной конкуренции или привлечения трафика на сайт.
При этом владелец сайта-жертвы может даже не догадываться, что находится под атакой, поскольку с его ip-адресов сайт будет прекрасно открываться и работать, а с других… Пользователи, зайдя на такой сайт, вероятно просто уйдут и не будут заморачиваться.
Я заморочился. И написал на e-mail, указанныый в контактах. А уже на следующий день, то есть сегодня, со мной связался администратор сайта, которому я подробно изложил проблему. И, пока я писал этот пост и готовил картинки, проблему уже исправили, удалив зловредный скрипт со страниц сайта!
Вероятно, вам интересно узнать, как же зловредный код оказался на страницах сайта: администратор высказал предположение, что это его предшественник оставил «подарок».
P.S. Посчитал неуместным указывать подвергшийся атаке сайт.
Комментарии (4)
20 сентября 2016 в 13:16
+5↑
↓
Ну, я бы не назвал это XSS-атакой. Я бы назвал это подлянкой от предшественника.20 сентября 2016 в 13:38
0↑
↓
Не факт, что от предшественника, я бы поискал шелл на сайте. С вероятностью 90% сайт взломали, залили шелл и добавили свой скрипт в исходники20 сентября 2016 в 13:47
0↑
↓
Если скрипт был добавлен предшественником — согласен, XSS-атакой это называть неуместно.Основной поинт в проблеме выявления организованной подобным образом XSS-атаки, когда зловредный код отдаётся в зависимости от ip-адреса или других доступных данных, например User-Agent.
Единственный способ обезопасить себя — не использовать сторонние ресурсы, тогда выявить подгрузку будет проще простого.
20 сентября 2016 в 13:30
+1↑
↓
Это только подтверждает давнюю дискуссию об использовании сторонних ресурсов на своем сайте. Если бы администратор посмотрел, что при загрузке используются хрен поймешь какие ресурсы, то проблемы и не было.
