Создание скриншотов окна браузера с помощью HTML5 и XSS
Демонстрация PoC кода для создания скриншотов с использованием XSS уязвимости и возможноcтей HTML5.
С появлением HTML5, XSS уязвимости становятся более опасными. Теперь злоумышленник может не только похитить учетные данные пользователя, но и создать скриншот окна браузера и получить данные, к которым у него ранее не было доступа. С помощью XSS можно просмотреть скриншот административной страницы приложения или скопировать личные данные пользователя. Все зависит от сайта, на котором обнаружена уязвимость. Исследователь под ником Phil опубликовал PoC код, демонстрирующий впечатляющие возможности HTML5 и XSS.
Атака строится на использовании HTML5 Canvas – функционала, позволяющего с легкостью создавать скриншоты окна браузера, и технологии Ajax для передачи данных на сервер, контролируемый злоумышленником.
Что касается политик единства происхождения, которые могут воспрепятствовать передаче данных, сценарий, который создал Phil, использует прокси для получения доступа к внешним ресурсам за пределами домена.
Следующий пример демонстрирует возможности HTML5:
Демонстрационный код с описанием работы сценариев доступен на сайте idontplaydarts.com
В нашем телеграм канале мы рассказываем о главных новостях из мира IT, актуальных угрозах и событиях, которые оказывают влияние на обороноспособность стран, бизнес глобальных корпораций и безопасность пользователей по всему миру. Узнай первым как выжить в цифровом кошмаре!
