Maneras de protegerse de un XSS

[mgrizal]

Hola,

¿que trucos o maneras tienes de protegerte de un XSS? La mayoría de la gente instala Joomla, PHPBB y cualquier otra cantidad de apps Opensource y pasan años y no las actualizan!! el problema es que con esas vulnerabilidades por ahí, es muy fácil que cualquier vago jale un script usando .php?http://www.noseque.ru/shell.txt

Yo creía que estaba protegido contra este mal pero en estos días me mandaron todo al carajo, como lo haces tu para que no te jodan?

Mod Security, Php suexec, Cero shell access y sploitfinds se quedan cortos!

Gracias!!

 

[unamigo]

Tengo el mismo inconveniente, en mi caso insertaron código como el de abajo en cientos de páginas html estáticas:

<a href=http://www.oxigenic.com/images/data/soma/soma-pill.html>soma pill</a>
<a href=http://www.valnalon.com/documentacion/semillero/data/soma/discount-soma.html>discount soma</a>
<a href=http://chemical-biological-attack-survival-guide.com/download/images/buy-tadalafil-cialis.html>buy tadalafil cialis</a>
<a href=http://w-z.com/images/staff/online/cialis/buy-cialis.html>buy cialis</a>

Esto me pareció interesante:

http://lubrin.org/spip.php?article98

 

[mohakevin]

Lo que yo utilizo:

- mod_security (claro que las reglas son imporantes), aunque hace poco se ha demostrado que se puede saltar facilmente.
- phpsuexec & open base dir: para evitar que ya que al menos hackean, hackeen sólo un sitio y no el de todos los clientes.

Intentar mantener actualizado el sistema.

Saludos.

 

[luisdiego]

habilita phpsuexec y desabilita php como modulo en apache lo cual convertira el acceso a cualquier fichero php como si se tratara de CGI's solo basta con desabilitar por defecto a los clientes la ejecucion CGI, si alguno llegara a necesitarlo las habilitas, esto puede ser un problema si no tienes conocimientos y necesitaras recompilar por completo apache, te recomiendo tengas cuidado al realizar esto ya que puedes traerte abajo tu servidor web.

tambien instala el modulo mod_security!

luego de esto los scripts se ejecutaran en modo usuario por lo cual deberas establecer los permisos correctos o si no el script no se ejecutara, los permisos maximos son 755

he tenido esto ya por vario tiempo y no me ha presentado mayor problema, solo basta con explicar al cliente como se esta manejando el sistema de scripts y listo.

Si llegaran a modificar algun sitio seria el del cliente y no el de todos por lo cual el cliente afectado es responsable por usar un software obsoleto.

suerte!