Problemi di sicurezza XSS da domini padre non attendibili

4

Esistono molte discussioni sulla protezione dei contenuti su esempio.com dai contenuti controllati dall'utente su subdomain.example.com (ad esempio Pagine Github ). Quali sono i rischi al contrario?

Se il mio contenuto è ospitato su subdomain.example.com, a quali attacchi sono esposto da contenuti non attendibili ospitati su example.com?

Alcune cose che posso pensare:

  • Il dominio padre può scrivere cookie che saranno visibili sul bambino
  • Il dominio padre può leggere tutti i cookie che sono stati impostati per il dominio padre, ma non quelli sul sottodominio (credo)
  • Il dominio padre potrebbe abilitare HSTS, forzare HTTPS sul sottodominio.
  • ... e altro ancora

Più specificamente, per il contesto: ospitiamo i contenuti degli utenti su un dominio utente come [user_id] .usercontent.com, trasmettendo le loro richieste / risposte attraverso un proxy che controlliamo. Stiamo pensando di aggiungere l'autenticazione per alcune richieste e di ospitare il nostro servizio di autenticazione su auth [user_id] .usercontent.com, così possiamo impostare i cookie di autenticazione che saranno visibili nelle richieste mentre colpiscono il proxy che ospita il contenuto dell'utente. In che modo il contenuto dell'utente può attaccare queste pagine di autenticazione?

    
posta Tim Perry 07.03.2017 - 20:33
fonte

0 risposte

Leggi altre domande sui tag