Ataque XSS a Directorios

[Xellos]

_ ¿Como protegerse de este tipo de ataque XSS?
_ Desarrollo la web de un banco, y yo trabajaba como scanner de vulnerabilidades con Acunetix, pero ellos le pasaron en USA el WebInspect que hizo saltar estas:

ruta_de_la_pagina:80/icons"><script><alert(097531);</script>
Debo decir que esta aplicacion corre sobre un servidor Apache en php/mysql
si notan hace referencia a un directorio de la web, que no se puede manejar con un archivo .php el resto de archivos si los tengo manejados contra cualquier ataque xss, pero como controlo esta entrada de algun usuario? y asi eliminar esta vulnerabilidad?, estoy viendo lo del .htaccess, o restringirlo desde el cpanel, algun guru que me pueda ayudar?


Gracias de antemano.

[David]

¿Qué archivo es lo que procesa esa URL? Me refiero a que algo debe procesar esa URL y colocar el parámetro dentro del documento para que sea realmente una vulnerabilidad XSS.

[Xellos]

Ahi esta el detalle, en ese directorio no existe ninguna pagina solo imagenes, iconos para ser mas preciso, tambien me salta la vulnerabilidad en la carpeta cgi-bin, tambien probe colocar un index.php con un script antixss en php y javascript, pero la vulnerabilidad no cambia el scanner me lo sigue registrando como vulnerable.
Gracias por responder David

[David]

Es raro .

Trata de ejecutar la URL en el navegador y mira si realmente se ejecuta el código Javascript.

[Xellos]

De raro si es, ya eh borrado este tipo de vulnerabilidades para otro banco, pero en asp, pero esta em php no, el codigo javascript no se ejecuta, pero muestra el servidor sobre el que corre la aplicacion, y esto ya es una vulnerabilidad, Mejor te paso el pdf de reporte para que lo veas, pasame un correo al cual enviartelo.
Gracias

[David]

Si no ejecuta el código Javascript, no es una vulnerabilidad XSS (que yo sepa ).

Y el hecho de que muestre el servidor no es una vulnerabilidad, de hecho, el servidor en sí ya envía en la cabecera de la respuesta HTTP qué software es .

[Xellos]

_Estaria de acuerdo contigo hasta que vi este reporte, en el que salta que aunque no se ejecute el js, una vulnerabilidad, que salta de una variable referer, es decir de un link que proviene desde un .js estoy en el ahora, pero aun no entiendo como saltaria asi una vulnerabilidad, el sotfware de scaneo que utilizaron es el HP WebInspect que cuesta alrededor de 25 mil dolares, y de nada valdría que yo les diga que lo que su fabuloso scanner salta como vulnerabilidad en realidad no lo es, e de encontrar la forma.
Gracias una vez mas David.

[David]

Ya entiendo la vulnerabilidad, y es que si se usa como cabecera HTTP_REFERER un enlace que contenga código Javascript se ejecutará al usar el enlace que el servidor está insertando dentro del cuerpo del documento.

Haz lo siguiente, dinos cuál servidor usas, así sabremos qué habría que modificar para que no suceda ese error.

P.S.: Por lo pronto, configura el servidor para que si no se encuentra un archivo redireccione a un mensaje de error personalizado que no use el HTTP_REFERER (o que lo filtre antes de mostrarlo).

[Xellos]

El Servidor es Apache/1.3.27 Ben-SSL/1.48 que corre con php 4.4.8 estoy ahora en el ControlPanel buscando la opcion.

[David]

Si tienes acceso al archivo principal de configuración de Apache o puedes crear/modificar archivos .htaccess puedes agregar la directiva ErrorDocument para mostrar un mensaje de error personalizado.

[DarkJ]

Con un poco de google: http://www.buayacorp.com/archivos/pe...jemplo-de-xss/

En tu caso, si dices que es un referer quizas has creado una pagina de error 404 que muestra el valor del referer sin filtrar. Asi

Código html:

<a href="url_referer">
 

saldria

Código html:

<a href="url_referer"><script>alert(1234)</script>
 

[Xellos]

Estoy en .htaccess, pero esta carpeta icons, al abrir URL_DE_LA_PAGINA/icons me muestra las imagenes que hay dentro, e puesto un index.php para que esto no suceda y aun asi pasa, por que el explorador me muestra el arbol de directorios de esta carpeta si esta posee un index.php, probe tambien con un index.htm, index.html y sigue sucediendo lo mismo.
Gracias David con lo de .htaccess sos grande.
tengo que enviar lo modificado al banco para que vuelvan a pedir el reescaneo de su web con su scanner, y que ya no salte esa vulnerabilidad.

[jpinedo]

Tema movido desde PHP a Servidores Web.

Saludos,

[Xellos]

Claro esta que estas vulnerabilidades no son ingresadas desde un navegador si no desde una entrada tipo telnet que salta todo tipo de validaciones y atacan directamente al servidor, saltandose todo tipo de validaciones en el lado del cliente, no existe una pagina de error 404, probe quitando los permisos a la carpeta en el servidor pero aun asi salta esta vulnerabilidad, Acunetix me lo salta 2 directorios sensitivos como vulnerabilidades bajas.

[Xellos]

Voy a servidores Web.

[David]

Hola, Xellos.

¿Seguro que si ingresas una URL del tipo http://servidor/icons/asdfaseruipo no muestra un mensaje de error?

[Xellos]

Me salta esto:
Not Found
Sorry, the requested URL /icons/asdasdasd was not found on this server.
un formulario de busqueda

Apache/1.3.27 Ben-SSL/1.48 Server at URL_DE_LA_PAGINA Port 80

[David]

Entonces significa que sí hay una página de error .

Entonces, lo que te sugerí es que en tu archivo .htaccess agregaras una directiva para que redireccione ese mensaje de error a otro que no sea el predeterminado de Apache.

Código:

ErrorDocument 404 /error/404.html

Lógicamente, debe apuntar a un archivo que existe.

Saludos .

[Xellos]

_Maestro de maestros David, lo que usted dice si tiene logíca, estoy subiendo este archivo a el servidor y a la espera de la confirmación de vulnerabilidad 0, espero poder contar en otra oportunidad con usted, mi correo es [email protected].

Best Regards.