¿Cómo puedo monitorear mis sitios que alojo en mi servidor Linux para detectar ataques XSS?
XSS es un ataque del lado del cliente donde el atacante puede inyectar código en el sitio web. El script Java generalmente se usa para XSS porque es nativo del navegador.
La mejor manera de probar XSS es usar escáneres de aplicaciones.
- ¿Cómo puede un juego defenderse de un ataque DDoS?
- ¿Cómo definimos el cibercrimen?
- ¿Cómo ha sido hackeado PayPal?
- ¿Cuáles son las responsabilidades de los servicios de pruebas de seguridad?
- ¿Cuál es el antivirus mejor pagado para Windows 8 64 bit?
Hay una variedad de productos gratuitos y de pago por ahí.
El aspecto clave en XSS es desinfectar la entrada del usuario para que todos los componentes activos como el script se filtren o desinfecten.
En pocas palabras, si puedo inyectar alerta (“problema XSS”) en su sitio web, entonces hay un problema. Porque ese script se ejecutará cuando alguien visite un sitio web en particular y el script se ejecutará en el navegador del visitante con el mismo privilegio que el usuario. La mejor manera de desinfectar es desinfectar esas etiquetas de script, pero hay varias formas en que puede escapar, por lo que debe pensar en caracteres de escape que podrían inutilizar su sansitización.
como si todo el diablo yace en los detalles. Hay diferentes tipos de XSS. Pero por simplicidad, he explicado los conceptos básicos en el párrafo anterior.
Se requiere cierto esfuerzo manual para confirmar el XSS. Si tiene un intérprete JS en el escáner de vulnerabilidades de su aplicación, el falso positivo será menor y el esfuerzo manual será menor.
Verificar manualmente si pudo explotar XSS con éxito es verificar el DOM (modelo de objeto de documento) en su navegador para ver si su script estaba incrustado en el DOM. Esta es la mejor manera de obtener el 100% de confirmación de que XSS existe.
Obviamente, no puede verificar todas y cada una de las entradas y páginas manualmente, de ahí el escáner automatizado que lo ayudará a encontrar problemas como XSS, inyección SQL, LFI (inclusión de archivos locales) y muchas otras vulnerabilidades en su aplicación. Owasp top 20 es un buen lugar para comenzar a aprender sobre esas vulnerabilidades.
Volviendo a su pregunta, puede usar el siguiente escáner de aplicación
Burp proxy suite: este es mi favorito y es gratis. Si necesita informar, entonces hay un costo de licencia
Rapid7 (pago – puede haber una versión de pago gratuita)
Qualys
Escáner XSS en línea gratuito
W3af fue adquirido por Rapid7
google / firing-range <== nunca lo usó, pero para que lo use google en sus pruebas internas, debe ser bueno.
Hay muchos otros productos, pero esto debería ayudarte.
Tenga en cuenta que no debe escanear el servidor alojado sin el permiso explícito del proveedor de alojamiento.
Asegúrese de comunicar al proveedor de alojamiento que va a escanear su aplicación.
¡Buena suerte!
