XSS Worm Defense

by axis
2007-12-29
http://www.ph4nt0m.org

近日XSS WORM愈演愈烈,随着AJAX技术的发展,这种XSS的高级攻击技巧已经成为了当今的热点。

在圣诞节,baidu个人空间遭受了一次前所未有的XSS WORM攻击,在短短时间内,8700个博客页面被修改,并进行传播,baidu在26日fix了该漏洞,并发了一个公告

http://hi.baidu.com/%B0%D9%B6%C8%BF%D5%BC%E4/blog/item/0e3433fa69eeb61aa8d3110f.html

对于该次WORM攻击,在剑心的blog上有完整的技术分析:
http://www.loveshell.net/blog/blogview.asp?logID=283

对比以前的myspace的XSS WORM,近日的orkut、baidu等的xss worm陆续爆发,说明这一危害日益严重。 可以预见的是在2008年,xss worm将成为攻防的焦点。

对于XSS WORM的防御,可以从以下几点出发考虑:(这里不会涉及太多细节)
1. 断其源头
XSS WORM的必要条件是网站存在XSS 漏洞,而且这个XSS漏洞必须是 persistent (或者叫做 store)类型的XSS,该漏洞必须与网站的其他用户发生交互。

既然是store类型的XSS,那么就为在服务端控制提供了可能(如果是基于DOM的,则可能不从服务端过)。 所以使用一个 security-tier 来控制XSS 是必要的选择。

这个security-tier的选择可以有很多,比如anti-samy一类的项目,或者是mod-security等,其目的都是进行 Input Validation. 比较彻底的做法是使用 htmlencode来对输出进行escape,这适用于用户输出不需要html的地方,在code review的时候应该尽可能的去找出这些地方。

如果input validation做的比较彻底的话,就断了XSS WORM的源头,从而让攻击跑不起来

2. 检查所有用户之间发生交互的地方

这也是XSS WORM发生的充分条件。

检查业务逻辑上,用户交互最为密集的地方,然后针对这些地方,加强XSS FILTER的检查,缩小Attack Surface。

3. 使用验证码或者密码来验证重要应用流程

根据2的结果,在敏感应用时使用验证码或者密码来验证用户身份。这样做的好处是可以及时阻断攻击流程,让攻击无法连续的跑起来,将XSS的影响降低到最小。

但是坏处也同样明显,因为出于商业需求,很多地方可能无法使用验证码,可用性与安全的平衡再一次受到考验。

4. 使用一个处于比较核心位置的功能来阻断连续提交

一般XSS WORM的构造是在某一个页面上,也就是说用户在触发XSS后可能在一瞬间执行所有的JS代码,这些代码包括寻找好友的list,然后对这些好友的list发送新的XSS PAYLOAD。

根据2的检查结果,对于这些敏感应用,比如对好友发送message,或者是提交文章一类,设置提交间隔,在提交一次后,需要在一定时间之后,才能再次提交。尽可能将损失降到最低。

5. 完善的log机制

不论是apache log,还是单独应用的用户行为log,都要针对xss worm重新设计过,在敏感位置布点。有助于在第一时间发现问题,并且进行fix。

同时在“缉凶”的过程中,这些日志也非常重要。

6. 法律需要进一步完善

很明显,法律需要进一步给XSS WORM下定义。

本文只是抛砖引玉,并没有描述更多的细节。

而XSS WORM最为厉害的时候,将形成跨不同网站的WORM,利用多个网站互相之间的交互性,来传播到不同的网站上,也造成了更难追溯源头。

在防御XSS WORM领域,还有很多工作需要做。可以充分发挥你的想象力,还有更多的手段可以用在对抗的过程中,比如在每个页面布点监控等,在2008年的XSS WORM大潮来临之前,希望大家能都做好防洪的准备!

相关日志

发表评论