The Community Forums

Interact with an entire community of cPanel & WHM users!
  1. This site uses cookies. By continuing to use this site, you are agreeing to our use of cookies. Learn More.

Maneras de protegerse de un XSS

Discussion in 'Discusión en Español' started by mgrizal, Apr 19, 2007.

  1. mgrizal

    mgrizal Well-Known Member

    Joined:
    Jun 15, 2004
    Messages:
    55
    Likes Received:
    0
    Trophy Points:
    6
    Hola,

    ¿que trucos o maneras tienes de protegerte de un XSS? La mayoría de la gente instala Joomla, PHPBB y cualquier otra cantidad de apps Opensource y pasan años y no las actualizan!! el problema es que con esas vulnerabilidades por ahí, es muy fácil que cualquier vago jale un script usando .php?http://www.noseque.ru/shell.txt

    Yo creía que estaba protegido contra este mal pero en estos días me mandaron todo al carajo, como lo haces tu para que no te jodan?

    Mod Security, Php suexec, Cero shell access y sploitfinds se quedan cortos!

    Gracias!!
     
  2. unamigo

    unamigo Member

    Joined:
    Apr 28, 2004
    Messages:
    12
    Likes Received:
    0
    Trophy Points:
    1
    Tengo el mismo inconveniente, en mi caso insertaron código como el de abajo en cientos de páginas html estáticas:

    Code:
    <a href=http://www.oxigenic.com/images/data/soma/soma-pill.html>soma pill</a>
    <a href=http://www.valnalon.com/documentacion/semillero/data/soma/discount-soma.html>discount soma</a>
    <a href=http://chemical-biological-attack-survival-guide.com/download/images/buy-tadalafil-cialis.html>buy tadalafil cialis</a>
    <a href=http://w-z.com/images/staff/online/cialis/buy-cialis.html>buy cialis</a>
    
    Esto me pareció interesante:

    http://lubrin.org/spip.php?article98
     
  3. mohakevin

    mohakevin Well-Known Member

    Joined:
    Jan 19, 2005
    Messages:
    84
    Likes Received:
    0
    Trophy Points:
    6
    Lo que yo utilizo:

    - mod_security (claro que las reglas son imporantes), aunque hace poco se ha demostrado que se puede saltar facilmente.
    - phpsuexec & open base dir: para evitar que ya que al menos hackean, hackeen sólo un sitio y no el de todos los clientes.

    Intentar mantener actualizado el sistema.

    Saludos.
     
  4. luisdiego

    luisdiego Member

    Joined:
    May 15, 2007
    Messages:
    13
    Likes Received:
    0
    Trophy Points:
    1
    habilita phpsuexec y desabilita php como modulo en apache lo cual convertira el acceso a cualquier fichero php como si se tratara de CGI's solo basta con desabilitar por defecto a los clientes la ejecucion CGI, si alguno llegara a necesitarlo las habilitas, esto puede ser un problema si no tienes conocimientos y necesitaras recompilar por completo apache, te recomiendo tengas cuidado al realizar esto ya que puedes traerte abajo tu servidor web.

    tambien instala el modulo mod_security!

    luego de esto los scripts se ejecutaran en modo usuario por lo cual deberas establecer los permisos correctos o si no el script no se ejecutara, los permisos maximos son 755

    he tenido esto ya por vario tiempo y no me ha presentado mayor problema, solo basta con explicar al cliente como se esta manejando el sistema de scripts y listo.

    Si llegaran a modificar algun sitio seria el del cliente y no el de todos por lo cual el cliente afectado es responsable por usar un software obsoleto.

    suerte!
     
    #4 luisdiego, May 15, 2007
    Last edited: May 15, 2007

Share This Page