Esiste un modo per calcolare la complessità di un vettore XSS?

Question

Esiste un modo per calcolare la complessità di un vettore XSS?

#1 da (5 voti)

0

C'è un modo per calcolare / stimare la complessità di un vettore XSS?

Vorrei prendere in considerazione un "punteggio di complessità del vettore XSS" nella formula risk = likelihood * impact ¹. A mio avviso, la probabilità aumenta quando il "punteggio di complessità del vettore XSS" diminuisce e visa-versa.

Ad esempio, un vettore XSS molto semplice sarebbe:

<script>alert(1);</script>'

Un vettore XSS più complesso sarebbe ²:

<div style=overflow:-webkit-marquee onscroll=alert(1)>'

o ³

<script/%00%00v%00%00>alert(123)</script>'

^1. Metodologia di valutazione del rischio OWASP

^2. Fonte: twitter.com , funziona solo in Safari

^3. Fonte: twitter.com , esclusione del filtro XE di IE

risk xss risk-analysis attack-vector

posta Bob Ortiz 11.07.2016 - 23:05

fonte

1 risposta

Leggi altre domande sui tag risk xss risk-analysis attack-vector

Cosa succede quando un firewall blocca un traceroute? Ritardo di consegna della posta a '' spf = fail ''; può essere dovuto all'ispezione manuale e accettare?

score 5 · Accepted Answer

Suggerirei che provare ad applicare valori numerici a costrutti astratti come "rischio", "impatto" e "probabilità" non sia una buona idea.

Il problema è che ognuno di questi termini tende ad essere sia soggettivo (ciò che è probabile che una persona non sia probabile a un'altra) sia estremamente situazionale (l'impatto dell'XSS su un sito sarà probabilmente diverso da un altro), quindi in modo realistico c'è un uso molto limitato nel farlo (a parte la gestione dell'appease che insiste sulla quantificazione e la classifica delle cose)

Puoi vedere un sacco di esempi di questo tipo di problemi in cui le persone cercano di quantificare le vulnerabilità. Un buon esempio con CVSS è questo.

Avere una porta telnet aperta (un servizio completamente non criptato) è CVSS 4 secondo Rapid7 o forse 5.8 se ascolti Tenable , quindi ovviamente soggettivo poiché è lo stesso problema. Quindi, per un maggiore divertimento, puoi confrontare con un certificato autofirmato, che sebbene non sia sempre l'ideale, è meglio che non avere alcuna crittografia, ma Tenable calcola questo come CVSS 6.4 , quindi maggiore severità di nessuna crittografia! (Rapid7 ha questo come 4 )

Dato che le persone non possono nemmeno concordare valutazioni coerenti per risultati identici, mi raccomando di non classificare cose come XSS che hanno una varietà molto più grande per loro.