web-dev-qa-db-ja.com

クロスサイトスクリプティングはデータベースアクセスにつながる可能性がありますか？

XSSの脆弱性が存在するサイトの気象がハッカーをデータベースにアクセスさせる可能性があることを知りたいですか？保存されたCookieからユーザー名とパスワードを取得できることは知っていますが、データベースに完全にアクセスできますか？

web-applicationappsecxss
3
v0ld3m0rt

XSSはサーバーを危険にさらすのではなく、クライアントを危険にさらします。

基本的に、サイトがXSS攻撃に対して脆弱である場合、ユーザーに危険なコードを提供しています。攻撃はユーザーのアクションを制御するため、ユーザーが行うすべての操作にアクセスできます。

したがって、通常、ユーザーがDBに完全にアクセスできない場合、XSSは攻撃者にそのアクセス権を与えません。

ただし、「ユーザー」には「管理者」が含まれるため、エクスプロイトがアクティブなときにログインすると、攻撃者は管理者の権限を持つことに注意してください。

6
cloudfeet

いいえ、2つの警告があります。

  1. あなたの質問には詳細がまったくないので、明確にすることは非常に困難です。
  2. 攻撃者はより広範な攻撃の一部としてXSSを使用する可能性があります。彼女がXSSを介して管理者に自分のマシンで何かを実行させることができれば、それがどこにつながるかを知っている...
4
Graham Hill

CloudfeetがXSSに言及すると、サーバーではなくクライアントが侵害されるため、XSSの脆弱性によってデータベースに直接アクセスすることはできません。

とは言っても、過去（要求されたサイトの脆弱性評価を行っている間）に、XSSの脆弱性を利用して管理ユーザーのセッションを盗むことができました。これにより、平均的なユーザーには見えないサイトの管理セクション全体にアクセスできるようになりました。このセクションでは、管理ページを通じてデータベース内のすべてのテーブル（システムテーブルを除く）を変更できました。

管理者は信頼できるユーザーであるため、サイトの管理セクションがセキュリティの隅を切り詰めることがあることがわかりました。これは、SQLインジェクションの脆弱性があることを意味している可能性があります。この場合、データベースに直接アクセスできます。

要約すると、いいえ、XSSの脆弱性によって直接データベースにアクセスすることはできません。しかし、非常に具体的なの状況では、データベースアクセスが拡張される可能性があります。

3
Abe Miessler

XSSの脆弱性がある場合、攻撃者はWeb UIが実行できることをすべて実行し、Web UIがアクセスできるすべてにアクセスできます。 Web UIとサポートするAPIが、直接のdbアクセスを許可するように構築されている場合、はい、攻撃者はそのようなアクセス権を持っています。アプリケーションがWeb UIおよびサポートAPIを通じてSQLを最終的に実行する機会を提供しない場合、XSSはそのような機能を許可しません。

UIのあらゆるものがこのアクセスを取得するために利用される可能性があることを覚えておいてください。

  • ユーザーがSQLクエリを記述できるように意図的に実装された機能
  • ユーザーが管理パスワードを変更してリモートログインを有効にする機能（システムレベルでアプリケーションにアクセスを許可し、システムがデータベースに接続する方法を攻撃者が特定する前に、それを時間の問題とする）
  • uIを介してアクセス可能なSQLインジェクションの脆弱性
  • web UIにアクセスできるがWeb UIでは使用されていないAPI機能
1
atk