Игра от Google, в которой можно отточить свои хакерские навыки

Игра направлена на проверку ваших знаний о работе браузеров и XSS-уязвимостях. Мы подготовили для вас краткое введение в тему и небольшой обзор игры.

Об XSS

XSS — это довольно распространенная уязвимость в безопасности веб-сайтов. Абрревиатура расшифровывается как Cross Site Scripting (межсайтовый скриптинг).

Распространенный сценарий эксплуатации на уязвимых сайтах — добавление вредоносного (обычно JavaScript) кода в HTML-страницу, которая демонстрируется пользователям. Как только этот код будет запущен браузером жертвы, он может повлиять на поведение или внешний вид страницы, украсть конфиденциальные данные или совершить какие-либо действия от имени пользователя.

Типичный запрос для XSS-атаки выглядит примерно следующим образом:

			https://example.com/demo/2?query=<script>alert('hello')</script>
		

Если веб-сайт example.com не защищен от XSS, то при переходе по этой ссылке пользователь увидит всплывающее окно с надписью “hello”.

Бывают активные и пассивные XSS-уязвимости. Активная уязвимость внедряется в базу данных на сервере либо в серверный код, вследствие чего потенциальными жертвами становятся все пользователи сайта. Пример пассивной же уязвимости вы можете видеть выше. Для того, чтобы стать её жертвой, пользователь должен перейти по ссылке, содержащей JavaScript-код.

С помощью XSS злоумышленники могут украсть cookie, данные из пользовательских форм, а также совершать более изощренные атаки, комбинируя XSS и CSRF, и даже проводить DDoS.

Для тех, кто хочет ознакомиться с этой уязвимостью подробнее, мы подготовили подборку из нескольких полезных ссылок:

1. Пособие по XSS.
2. XSS для начинающих.
3. Более подробно о возможных применениях.

В чем суть игры?

Суть XSS Game заключается в проведении 6 различных вариантов XSS-атак в “эмуляторе браузера”, который встроен в страницу.

К каждому из видов уязвимости дается небольшое введение, а если с решением задачи возникают трудности, то можно воспользоваться несколькими (тремя-четырьмя) подсказками. И хотя некоторые из них построены на игре слов, обычно после второй-третьей из них додуматься до решения становится уже несложно. В крайнем случае всегда можно изучить код участвующего сервера и HTML-шаблонов.

После успешного прохождения всех шести уровней участника просят оценить интересность и сложность игры, после чего предоставляют ссылку на учебник по уязвимостям от Google.

Игра затягивает уже с первого уровня и будет хорошим способом отточить свои навыки в эксплуатации XSS-уязвимостей.

Вас также может заинтересовать подборка из 20 бесплатных онлайн-игр для программистов.