Luyện tập tấn công Cross-site Scripting (XSS)

Để tìm kiếm và chứng minh được sự tồn tại của các lỗ hổng bảo mật đòi hỏi bạn phải thực hành rất nhiều. Bài viết này mình sẽ giới thiệu đến các bạn một vài website chuyên cung cấp các bài thực hành đối với kiểu tấn công XSS.

  1. Google XSS game 
    Vào năm 2014, Google đã tạo ra một trò chơi cho bạn thấy việc khai thác lỗ hổng XSS dễ dàng như thế nào. Nó đã được đưa ra để truyền bá nhận thức bảo mật và để thúc đẩy chương trình tiền thưởng lỗi. Trò chơi có 6 cấp độ khó tăng dần. Trò chơi Google XSS rất đơn giản. Tất cả những gì nó cần là kiến thức JavaScript cơ bản và một chút nhận thức về Python. Tác giả của bài viết này không phải là một kỹ sư bảo mật đã làm cho nó lên đến cấp 6 mà không cần tìm kiếm giải pháp. Điều này có nghĩa là chắc chắn, bạn cũng có thể làm được.

  2. alert(1) to win
    Thử thách XSS này được  Erling Ellingsen tạo ra vào năm 2013. Tương tự như trò chơi Google XSS, đây là một chuỗi 8 cấp độ ngày càng khó khám phá các khía cạnh khác nhau của Cross-site Scripting. Nhìn chung, các thử thách khó khăn hơn và đòi hỏi nhiều kinh nghiệm mã hóa hơn. Khía cạnh lớn nhất của trò chơi này là bạn có thể thấy ngay kết quả của mã mà bạn nhập và đầu ra của giao diện điều khiển. Hệ thống sẽ tính điểm của bạn dựa trên các payload gửi lên máy chủ, payload càng ngắn thì điểm số càng cao

  3. prompt(1) to win
    Các chuyên gia bảo mật từ Hồng Kông được biết với cái tên filedescriptor đã tạo ra chương trình này năm 2014, lấy cảm hứng từ chương trình “alert(1) to win”. Chương trình bao gồm 20 thử thách (4 thử thách bị ẩn và khó hơn so với các thử thách khác). Tương tự với chương trình “alert(1) to win”, game này cũng hiển thị kết quả tương ứng với các hành động của bạn. Chú ý, thử thách cuối cùng của chương trình này hiện nay không thể thực hiện được do thiết kế của trình duyệt hiện nay đã ngăn chặn các tấn công dạng này.

  4. XSS Challenges by yamagata21
    Các thử thách XSS này là một trong các thử thách lâu đời nhất, được phát triển từ năm 2008. Không giống như các thử thách ở trên, thử thách này không cung cấp các HTML output trực tiếp và mã nguồn phía máy chủ. Để thực hành các thử thách này bạn cũng cần phải tắt các chế độ bảo vệ XSS của trình duyệt, thử thách 17 và 18 không còn thực hiện được trên các trình duyệt mới. 

  5. Hack.me XSS Library
    Hack.me là một nền tảng cho phép người dùng có thể upload các thử thách của mình lên để cho mọi người vào thực hành, đây thực sự là một nền tảng rất phong phú và đa dạng cho các bạn thực hành tấn công lỗ hổng XSS

 

Avatar
safesai
Leave a Reply