[XSS]Casting OnLine[XSS]

				Casting OnLine Cross Site Scripting & HTML Injection
						by robercik101 ;)
						http://robercik101.tk

1.Gdzie jest błąd?
W serwisie Casting OnLine w systemie dodawania linków znajduje się błąd XSS\HTMLi
Podatne pola:
- Twój link
- Opis
2. Co mogę dzięki temu zrobić?
Można dzięki temu wstawić na stronie dowolny kod JavaScript lub HTML
Do tych nieszkodliwych rzeczy które można zrobić należy dodanie utworu dźwiękowego do portfolio (;)) do tych bardziej szkodliwych należy wykradnięcie cookie, przejęcie sesji użytkownika i działanie jak on
3. Proof of Concept (PoC)
Twój Link: http://<script>alert(0)</script>
Opis: Fajne zdjęcia ;)
4. Gotowe skrypty wykorzystujące podatność
http://pastebin.com/qFVk3Cjy -> nabijacz punktów
http://pastebin.com/79ziH07v -> silly JS worm
5. Rady dla administratora strony ;)
Nie chcę się narzucać z tym i podważać umiejętności programistów, którzy stworzyli tą stronę bo oni są lepsi ode mnie bo skończyli studia i mają pewnie duże doświadczenie ale chciałbym napisać co ja radziłbym zrobić w sprawie błędów na stronie, w celu poprawienia jej bezpieczeństwa
- Zrobić audyt kodu strony (np narzędziem o nazwie cIFrex - http://cifrex.org/) bądź zatrudnić do tego firmę (http://niebezpiecznik.pl/testy-penetracyjne/?tb)
- Wysłać programistów na szkolenia z zakresu atakowania i ochrony webaplikacji (http://niebezpiecznik.pl/szkolenia/atakowanie-ochrona-www/?st) (można wspomnieć kto podesłał linka :)) bądź stworzyć zespół odpowiedzialny za bezpieczeństwo i jego członków wysłać na takowe szkolenie
- Zasubskrybować:
a) Niebezpiecznik
b) Zaufaną Trzecią Stronę
c) Sekurak
d) inne strony poświęcone bezpieczeństwu ;)
- Czytać:
a) SecurityFocus (securityfocus.com)
b) CVE (http://www.cvedetails.com/ || http://cve.mitre.org/)
c) OSVDB (http://osvdb.org/)
- Stworzyć program Bug Bounty (nagradzanie użytkowników za znalezienie błędów)
- Inne (jak coś wymyślę to napiszę ;))