Prevenire la webapp non sicura sul sottodominio compromette la sicurezza della webapp principale

11

Voglio il tuo aiuto per ottenere informazioni più concrete su un tipo di vulnerabilità che ricordo vagamente.

Ricordo vagamente di aver sentito circa un anno fa che se si installa una webapp su un sottodominio e tale webapp viene compromessa, allora anche la tua webapp principale (sul dominio principale) potrebbe essere compromessa, perché (e questo è il parte che è vaga nella mia memoria) il browser ha alcune ipotesi sulle due diverse webapp che sono la stessa entità perché appartengono allo stesso dominio principale.

Ho sentito che questo perché Facebook ospitava originariamente i loro forum per sviluppatori su un dominio diverso invece che su un sottodominio di facebook.com; perché l'app del forum era lontana, lontano meno ampiamente verificata per problemi di sicurezza rispetto a Facebook, e non volevano buchi di sicurezza nei forum per consentire a un utente malintenzionato di accedere a Facebook stesso.

(Per chiarire, questi attacchi sono basati sul browser, non su un qualche tipo di connessione tra i due server.)

La mia domanda : hai le specifiche di quali sono queste vulnerabilità e come potrei proteggerle, quindi sarei sicuro che un utente malintenzionato che ha accesso a una webapp non possa accedere a una webapp diversa sullo stesso dominio radice?

    
posta Ram Rachum 18.11.2012 - 21:17
fonte

4 risposte

6

Lo scopo è quello di garantire che le vulnerabilità XSS in una webapp non consentano il compromesso dell'altro webapp.

Se li esegui su due domini separati (ad esempio facebook.com e facebookdevelopers.com ; non facebook.com e developers.facebook.com ), la politica dell'origine stessa del browser fornisce l'isolamento tra due webapp.

Questo è stato discusso a lungo in molte altre domande qui. Piuttosto che ripetere tutti i dettagli tecnici, lascia che ti rimandi a quelle altre domande:

risposta data 18.11.2012 - 23:52
fonte
7

Sembra un ambito dei cookie non sicuri . Se l'applicazione sta impostando i cookie su .domain.com , XSS in un sottodominio può portare a un compromesso dell'account.

Finché le applicazioni si trovano su server separati, non condividono lo stesso account di database e i cookie hanno un ambito corretto, quindi non dovrebbero esserci problemi.

    
risposta data 18.11.2012 - 21:24
fonte
1

Non ha nulla a che fare con il dominio IIRC. È solo che è in esecuzione sullo stesso server web sotto lo stesso utente. Quindi, per ottenere la segregazione, è necessario eseguire la webapp con un altro utente con diritti limitati. L'utente su cui è in esecuzione il proprio sito non dovrebbe avere diritti sui file o sulle directory in cui l'altro utente è in esecuzione.

Ad ogni modo, se pensi che la tua webapp sarà insicura. Non metterlo online.

    
risposta data 18.11.2012 - 21:24
fonte
0

Potresti essere interessato a questo S.O. discussione discutendo l'ambito dei cookie come descritto da @Rook.

Un modo per risolvere questo problema è con i cookie del canale ( un RFC in sospeso ) che è illustrato nel link precedente.

    
risposta data 19.11.2012 - 00:11
fonte

Leggi altre domande sui tag