myshenkov 1 авг 2022 в 16:14

Похищаем сохраненный в Chrome пароль с помощью XSS

5 мин

9.8K

Блог компании РунитиИнформационная безопасность*

+10

Комментарии 15

koreychenko 1 авг 2022 в 16:35

Ну, это же несколько искусственный пример, не? Чтобы оно сработало, надо чтобы сошлись следующие звезды:
1. На сайте, от которого нужен пароль, должна быть уязвимая страница.
2. На этой странице должна быть форма, в которую мало того, что можно подставить параметры из УРЛа из Get запроса, так еще и чтобы оно всё выводилось без экранирования.
3. У пользователя должен быть сохранен пароль от этого сайта в браузере.

Ну, т.е. очень маловероятный сценарий ))

myshenkov 1 авг 2022 в 17:26

ну не то чтобы очень малая вероятность)
вполне рабочий пример, да главным условием должно быть наличие уязвимости XSS,

а насчет сохранения паролей в браузере, практика показывает, что так делают почти все

NikaLapka 1 авг 2022 в 19:57

Да легко, ссылка в письме не отличимом от настоящего, с вашими персональными данными и правильным доменном, не вызовет никаких опасений, например, "Геннадий Букин, напоминаем, что срок оплаты страховых взносов,... вы можете легко оплатить онлайн, ваш Банк". В эпоху "слили очередную базу" это рядовой случай. А дальше, очередной скомпрометированный .js счётчика, идентификатора, сколько их таких используется, и на СБЕР, ВТБ, Госуслугах.. ну а пароли как верно подметили, "так делают почти все.

Блин, ещё одна фобия.

AndreyDmitriev 1 авг 2022 в 22:03

У нас на работе весёлые админы постоянно рассылают письма от имени компании, имитирующие фишинговые, выглядящие как настоящие, но с хитрыми ссылками, количество кликов по которым они же и отслеживают. Ну типа смените пароль, проверьте данные профиля и т.д. Раз в квартал такая учебная тревога прилетает, и народ вроде научился не щёлкать куда попало, а помечать их как фишинговые.

saboteur_kiev 2 авг 2022 в 03:21

Говорят сотовые провайдеры в РФ легко вставляют в html свой код

koreychenko 2 авг 2022 в 09:18

И не только в РФ. Однако, с https это не работает.

saboteur_kiev 2 авг 2022 в 16:14

MIM, и какой-нить админ внутри компании может стырить данные карточек сотрудников.

jakobz 1 авг 2022 в 18:22

А если кнопку ОК сделать прозрачной для кликов (pointer-events: none), и подставить над вашей кнопкой?

myshenkov 1 авг 2022 в 19:43

кстати да, сработает) тогда в случае кипасса отстаётся только надеяться, что база не разблокирована в текущий момент

Urub 2 авг 2022 в 12:43

поясните правильно ли я понял:
1. пользователь зашел на "неблагонадежный" сайт
2. вылезло какоето окно с кнопкой ОК, которое на самом деле содержит форму ввода логина и пароля, например от сайта какого либо почтовика, а браузер любезно подставил туда логин и пароль
3. при нажатии на ОК именно эти логин и пароль утекают ?