Coma o bolo do "XSS game" do Google (2º DevInVale)

Slides da lightning talk "Coma o bolo do "XSS game" do Google", ministrada no 2º DevInVale em 2015, no Co-necta Espaço de Coworking.

Resumo: "Em Maio de 2014 o Google liberou um "jogo", com seis níveis, onde o objetivo é entender e explorar vulnerabilidades Cross-Site Scripting (XSS). Esta palestra irá conceituar Cross-Site Scripting e demonstrar como vencer os seis níveis, onde ao fim teremos bolo (em ASCII art).".

Transcript

1. COMA O BOLO DO “XSS GAME” DO GOOGLE por Fernando A. Damião 2º Encontro DevInVale 28 de Fevereiro de 2015
2. SMALLINTABOUTME • Técnico em Informática pela ETEC Machado de Assis • Graduando em Ciência da Computação pelo IBTA • Mantenedor do guia colaborativo "git-start: Guia básico de Git" • Bolsista na Divisão de Desenvolvimento de Sistemas de Solo do INPE
3. XSS “Falhas XSS ocorrem sempre que uma aplicação recebe dados não confiáveis e os envia ao navegador sem validação ou filtro adequados. XSS permite aos atacantes executarem scripts no navegador da vítima que podem “sequestrar” sessões do usuário, desfigurar sites, ou redirecionar o usuário para sites maliciosos.” - OWASP Top Ten 2013 PT-BR
4. TIPOS DE XSS • Stored XSS ou Persistent XSS • Reflected XSS ou Non-Persistent XSS • DOM Based XSS
5. DICAS • Desabilitar filtro XSS do Chrome • open -a "Google Chrome" --args —disable- xss-auditor • Tabela de ASCII "encodada" • http://www.ascii.cl/htmlcodes.html • “Conversor” para evasão de filtros • http://ha.ckers.org/xsscalc.html
6. XSS GAME DO GOOGLE • Liberado em Maio de 2014 • Foco em desenvolvedores que não possuem contato com segurança da informação • Possui 6 níveis, cada nível possui dicas • Permite ver o código fonte (Server side) • Acessível em http://xss-game.appspot.com
7. LEVEL 1: HELLO, WORLD OF XSS
8. LEVEL 2: PERSISTENCE IS KEY
9. LEVEL 3: THAT SINKING FEELING
10. LEVEL 4: CONTEXT MATTERS
11. LEVEL 5: BREAKING PROTOCOL
12. LEVEL 6: FOLLOW THE RABBIT
14. LINKS PARA SABER MAIS • OWASP - https://www.owasp.org/ index.php/Cross-site_Scripting_(XSS) • Google - http://www.google.com/about/ appsecurity/learning/xss/index.html • Pentester Academy (Últimos vídeos) - http:// www.pentesteracademy.com/course?id=8
15. LINKS PARA TREINAR • DVWA - Damn Vulnerable Web Application - http://www.dvwa.co.uk • Google Gruyere - http://google-gruyere.appspot.com
16. OBRIGADO A TODOS!!! =D smallintabout.me fa_damiao fadamiao