All the attacks we have considered

All the attacks we have considered so far involve directly targeting the serverside application. Many of these attacks do, of course, impinge upon other users, such as a SQL injection attack that steals other users’ data. But the attacker’s essential methodology was to interact with the server in unexpected ways to perform unauthorized actions and access unauthorized data. The attacks described in this chapter and the next are in a different category, because the attacker’s primary target is the application’s other users. All the relevant vulnerabilities still exist within the application itself. However, the attacker leverages some aspect of the application’s behavior to carry out malicious actions against another end user. These actions may result in some of the same effects that we have already examined, such as session hijacking, unauthorized actions, and the disclosure of personal data. They may also result in other undesirable outcomes, such as logging of keystrokes or execution of arbitrary commands on users’ computers. Other areas of software security have witnessed a gradual shift in focus from server-side to client-side attacks in recent years. For example, Microsoft used to frequently announce serious security vulnerabilities within its server products. Although numerous client-side flaws were also disclosed, these received much less attention because servers presented a much more appealing target for most attackers. In the course of just a few years, at the start of the twenty- first century, this situation has changed markedly. At the time of this writing, no critical security vulnerabilities have been publicly announced in Microsoft’s IIS web server from version 6 onward. However, in the time since this product was first released, a large number of flaws have been disclosed in Microsoft’s Internet Explorer browser. As general awareness of security threats has evolved, the front line of the battle between application owners and hackers has moved from the server to the client. Although the development of web application security has been a few years behind the curve, the same trend can be identified. At the end of the 1990s, most applications on the Internet were riddled with critical flaws such as command injection, which could be easily found and exploited by any attacker with a bit of knowledge. Although many such vulnerabilities still exist today, they are slowly becoming less widespread and more difficult to exploit. Meanwhile, even the most security-critical applications still contain many easily discoverable client-side flaws. Furthermore, although the server side of an application may behave in a limited, controllable manner, clients may use any number of different browser technologies and versions, opening a wide range of potentially successful attack vectors. A key focus of research in the past decade has been client-side vulnerabilities, with defects such as session fixation and cross-site request forgery first being discussed many years after most categories of server-side bugs were widely known. Media focus on web security is predominantly concerned with clientside attacks, with such terms as spyware, phishing, and Trojans being common currency to many journalists who have never heard of SQL injection or path traversal. And attacks against web application users are an increasingly lucrative criminal business. Why go to the trouble of breaking into an Internet bank when you can instead compromise 1% of its 10 million customers in a relatively crude attack that requires little skill or elegance? Attacks against other application users come in many forms and manifest a variety of subtleties and nuances that are frequently overlooked. They are also less well understood in general than the primary server-side attacks, with different flaws being conflated or neglected even by some seasoned penetration testers. We will describe all the different vulnerabilities that are commonly encountered and spell out the practical steps you need to follow to identify and exploit each of these. This chapter focuses on cross-site scripting (XSS). This category of vulnerability is the Godfather of attacks against other users. It is by some measure the most prevalent web application vulnerability found in the wild. It afflicts the vast majority of live applications, including some of the most security-critical applications on the Internet, such as those used by online banks. The next chapter examines a large number of other types of attacks against users, some of which have important similarities to XSS.
When XSS was first becoming widely known in the web application security community, some professional penetration testers were inclined to regard XSS as a “lame” vulnerability. This was partly due to its phenomenal prevalence across the web, and also because XSS is often of less direct use to a lone hacker targeting an application, as compared with many vulnerabilities such as serverside command injection.

Kết quả (Việt) 2:

Tất cả các cuộc tấn công, chúng tôi đã xem xét cho đến nay liên quan đến mục tiêu ứng dụng serverside trực tiếp. Nhiều người trong số các cuộc tấn công làm, tất nhiên, đụng chạm vào người khác, chẳng hạn như một cuộc tấn công SQL injection để đánh cắp dữ liệu của người dùng khác. Nhưng phương pháp thiết yếu của kẻ tấn công là để tương tác với máy chủ trong những cách bất ngờ để thực hiện các hành động trái phép và truy cập dữ liệu trái phép. Các cuộc tấn công được mô tả trong chương này và tiếp theo là trong một thể loại khác nhau, vì mục tiêu chính của kẻ tấn công là của ứng dụng người dùng khác. Tất cả các lỗ hổng liên quan vẫn còn tồn tại trong bản thân ứng dụng. Tuy nhiên, những kẻ tấn công thúc đẩy một số khía cạnh của hành vi của ứng dụng để thực hiện hành vi nguy hiểm đối với một người dùng cuối. Những hành động này có thể dẫn đến một số tác dụng tương tự mà chúng tôi đã kiểm tra, chẳng hạn như việc cướp quyền, hành động trái phép, và tiết lộ dữ liệu cá nhân. Họ cũng có thể dẫn đến những kết quả không mong muốn khác, chẳng hạn như khai thác gỗ của tổ hợp phím hoặc thực hiện các lệnh tùy ý trên máy tính của người dùng. Các khu vực khác của phần mềm bảo mật đã chứng kiến một sự thay đổi dần dần trong tâm từ phía máy chủ để tấn công phía khách hàng trong những năm gần đây. Ví dụ, Microsoft đã sử dụng thường xuyên công bố lỗ hổng bảo mật nghiêm trọng trong các sản phẩm máy chủ của nó. Mặc dù rất nhiều lỗ hổng phía khách hàng cũng được tiết lộ, những nhận được ít nhiều sự chú ý vì các máy chủ trình bày một mục tiêu nhiều hấp dẫn hơn đối với hầu hết những kẻ tấn công. Trong quá trình chỉ là một vài năm, vào lúc bắt đầu của hai mươi thế kỷ đầu tiên, tình trạng này đã thay đổi rõ rệt. Tại thời điểm viết bài này, không có lỗ hổng bảo mật nghiêm trọng đã được công bố công khai trong máy chủ web IIS của Microsoft từ phiên bản 6 trở đi. Tuy nhiên, trong thời gian kể từ khi sản phẩm này lần đầu tiên được phát hành, một số lượng lớn các lỗ hổng đã được tiết lộ trong trình duyệt Internet Explorer của Microsoft. Khi nhận thức chung về các mối đe dọa an ninh đã phát triển, đường phía trước của cuộc chiến giữa chủ sở hữu ứng dụng và tin tặc đã chuyển từ máy chủ cho khách hàng. Mặc dù sự phát triển của bảo mật ứng dụng web đã được một vài năm so với đường cong, xu hướng tương tự có thể được xác định. Vào cuối những năm 1990, hầu hết các ứng dụng trên Internet đã thủng với lỗ hổng nghiêm trọng như tiêm lệnh, mà có thể dễ dàng tìm thấy và khai thác bởi bất kỳ kẻ tấn công với một chút kiến thức. Mặc dù nhiều lỗ hổng như vậy vẫn tồn tại ngày nay, họ đang dần trở nên ít phổ biến và khó khăn hơn để khai thác. Trong khi đó, các ứng dụng ngay cả an ninh quan trọng nhất vẫn chứa nhiều lỗ hổng phía khách hàng dễ dàng phát hiện. Hơn nữa, mặc dù phía máy chủ của một ứng dụng có thể cư xử theo một cách thức kiểm soát hạn chế, khách hàng có thể sử dụng bất kỳ số lượng các công nghệ trình duyệt khác nhau và các phiên bản, mở ra một loạt các hướng tấn công có khả năng thành công. Một trọng tâm của nghiên cứu trong thập kỷ qua đã được các lỗ hổng phía khách hàng, với các khuyết tật như phiên bản định hình và cross-site giả mạo yêu cầu đầu tiên được thảo luận trong nhiều năm sau khi hầu hết các loại lỗi phía máy chủ đã được biết đến rộng rãi. Phương tiện truyền thông tập trung vào bảo mật web là chủ yếu quan tâm đến các cuộc tấn công clientside, với những thuật ngữ như phần mềm gián điệp, lừa đảo, và Trojan là đồng tiền chung để nhiều nhà báo đã không bao giờ nghe nói về SQL injection hoặc đường dẫn traversal. Và các cuộc tấn công chống lại người sử dụng ứng dụng web là một doanh nghiệp tội phạm ngày càng hấp dẫn. Tại sao đi đến những rắc rối của đột nhập vào một ngân hàng Internet khi bạn thay vì có thể thỏa hiệp 1% của 10 triệu khách hàng của mình trong một cuộc tấn công tương đối thô mà đòi hỏi ít kỹ năng hoặc sang trọng? Các cuộc tấn công chống lại người sử dụng các ứng dụng khác có thể có nhiều hình thức và biểu hiện nhiều tinh tế và sắc thái mà thường bị bỏ qua. Họ cũng ít được hiểu rõ nói chung so với các cuộc tấn công phía máy chủ chính, với những khiếm khuyết khác nhau được đem lồng hoặc bị bỏ rơi ngay cả bởi một số xét nghiệm xâm nhập dày dạn. Chúng tôi sẽ mô tả tất cả các lỗ hổng khác nhau được gặp phổ biến và giải thích rõ ràng các bước thực tiễn mà bạn cần phải làm theo để xác định và khai thác mỗi trong số này. Chương này tập trung vào cross-site scripting (XSS). Thể loại này dễ bị tổn thương là Bố già của các cuộc tấn công chống lại những người dùng khác. Đó là bởi một số biện pháp thông dụng nhất hiện ứng dụng web dễ bị tổn thương tìm thấy trong tự nhiên. Nó đã tấn công phần lớn các ứng dụng trực tiếp, bao gồm một số các ứng dụng bảo mật quan trọng nhất trên Internet, chẳng hạn như những người sử dụng của các ngân hàng trực tuyến. Các chương tiếp theo xem xét một số lượng lớn các loại khác của các cuộc tấn công chống lại người sử dụng, một số trong đó có điểm tương đồng quan trọng với XSS.
Khi XSS lần đầu tiên trở thành được biết đến rộng rãi trong cộng đồng bảo mật ứng dụng web, một số xét nghiệm thâm nhập chuyên nghiệp có khuynh coi XSS như một " què "dễ bị tổn thương. Điều này một phần là do tỷ lệ phi thường của nó trên web, và cũng vì XSS thường sử dụng ít trực tiếp hơn là một mục tiêu một ứng dụng của hacker đơn độc, so với nhiều lỗ hổng như tiêm lệnh serverside.