15 Nederlandse websites lek

Ik kop hem graag net zo hard in als WebWereld, zij hadden gisteren namelijk het bericht “Website Volkskrant lek“. Bij de Volkskrant was er sprake van een XSS-bug(ofwel; cross-side scripting). Geen unieke fout en daarom zal ik vandaag ook eens 15 websites plaatsen die kwetsbaar zijn voor XSS-fouten.

XSS-lek Nederlandse banken
Eerder dit jaar waren diverse websites van Nederlandse banken kwetsbaar voor XSS-fouten. De woordvoerster van de SNS Bank zei begin 2009 over een XSS-lek: “De betalingsgegevens zijn niet in gevaar“. Mwaa.., het moge duidelijk zijn dat een woordvoersters geen programmeur is, want het betalingsverkeer kon wel in gevaar worden gebracht.

Die vrouw dacht vast en zeker “Ahh leuk zo’n pop-up boxje, dat is toch niet gevaarlijk?!?“. De javascript alert-box was inderdaad niet gevaarlijk, maar wat te denken van de cookies stealing of phishingaanvallen?

De gevaren
De afgelopen jaren zijn duizenden mensen met elkaar in discussie geweest over het gevaar van XSS-fouten. De één zegt “soms gevaarlijk“, de ander zegt “altijd gevaarlijk“. En anderen zeggen weer “afhankelijk van de website en/of het doel van de website“. Ik sluit mij graag aan bij dat laatste “het is altijd gevaarlijk, hoewel niet voor alle websites even doeltreffend“.

Een aantal mogelijkheden van XSS-misbruik:
- Stelen van cookies
- Veranderen van content
- Gebruik voor phishingaanvallen
- Implementeren van malware

4 uurtjes werk
Afijn, ik besluit de proef op de som te nemen en te kijken welke websites XSS-fouten bevatten. De huis-tuin-keuken website geloof ik wel, dus we pakken een aantal grote websites. Ik bekijk een aantal websites van startpagina.nl en ik bekijk een aantal websites die bovenaan staan in google. 4 uurtjes later heb ik 15 websites gevonden die XSS-fouten bevatten.

ns.nl

frieslandbank.nl

route.anwb.nl

minaz.nl

tudelft.nl

vkbanen.nl

vacaturekrant.nl

trouw.nl

vergelijk.nl

bedandbreakfast.nl

bruna.nl

freerecordshop.nl

cz.nl

drogisterij.net

ad.nl

AD.nl, goed, maar net niet goed genoeg…
De eerste 14 spreken waarschijnlijk voor zich. Ergens in die websites is het mogelijk om user-input te geven, die al dan niet voorzien is van javascript. Ze waren niet allemaal makkelijk te vinden, maar iemand met kwaadwillige bedoelingen heeft deze net zo snel gevonden als mij. De laatste XSS-website is een apart verhaal, bij AD.nl was het niet direct mogelijk om de website te voorzien van javascript omdat er een aantal woorden/tags worden uitgesloten.

Echter is het wel mogelijk om quotes te gebruiken en deze quotes komen ook in de browser terecht. Helaas was het niet mogelijk om een extra HTML-attribuut toe te voegen, althans dat dacht ik…. het was namelijk niet mogelijk om een onload of onclick event toe te voegen. Maar er zijn meer mogelijkheden met javascript, denk aan onfocus of onmousedown. Deze bleken dus wel te werken. Mijn volgende probleem was het filter op het woord “alert” en “(” en “)”. Maar…, een XSS-fout is ook uit te buiten zonder deze woorden.

De oplossing is dus het meegeven van een extra onfocus of onmousedown. Aangezien “(” en “)” verboden zijn is het wel mogelijk om een document.location.href toe te voegen. Als men nu de focus plaatst in het zoekveld, redirecten we door naar http://www.test.nl. Maarja, hoe snel klikt een gebruiker wéér in het zoekveld? Waarschijnlijk niet snel, maar dit probleem is op te lossen door het zoekveld een style-attribuut mee te geven dat absoluut even groot is als de browser :-)

Full disclosure
Uit ervaring weet ik dat het veel tijd en moeite kost om met de juiste personen van de organisatie in contact te komen. Ik heb daarom besloten om alle websites met een screenshot op deze pagina te plaatsen. Bedrijven die vragen hebben over de fout in hun website kunnen een e-mail sturen naar info[at]hackblog.nl.

De les van vandaag “Never trust user input” ;-)

Reacties
Ik heb niet met iedereen persoonlijk contact gehad, ik heb wel alle bedrijven en organisaties een e-mail gestuurd. Mochten zij een reactie sturen, zal ik deze hier plaatsen.