Znaleziona i naprawiona podatność XSS - Adam Zientek

[Adamzientek]

1. Podatność XSS

W aplikacji webowej Flask Book Library znalazłem występowanie podatności typu Persistent Cross Site Scripting w formularzach dodawania książek, klientów i wypożyczeń. Podatność pozwalała na wstrzyknięcie i wykonanie kodu javascript w pola name i author w przypadku książek lub name i city w przypadku klienta. Pochodnie udawało się też wykonać kod przy przypisaniu nazwy książki lub nazwy klienta do danego wypożyczenia. Kod wykonywał się za każdym razem po wyświetleniu strony zawierającej rekord z przykładowym skryptem javascript <script>alert(1)</script>.

Umieszczenie złośliwych skryptów podczas dodawania nowej książki:

Wykonanie skryptu js dla pola name:

Wykonanie skryptu js dla pola author:

Wygląd rekordu po jego dodaniu do bazy książek:

Umieszczenie złośliwych skryptów podczas dodawania nowego klienta:

Wykonanie skryptu js dla pola name:

Wykonanie skryptu js dla pola city:

Wygląd rekordu po jego dodaniu do bazy klientów:

2. Koncepcja naprawy

W plikach models.py dla books, customers i loans dodałem sprawdzanie, czy dane podatne pola zawierają znaki specjalne - powinno wykrywać także próby ataków SQLi. W tym celu została napisana funkcja contains_special_chars, która wykrywa znaki specjalne z pomocą biblioteki re. Jeśli pole zawiera string ze specjalnymi znakami, zawarty w nim tekst jest poddawany sanityzacji przy użyciu funkcji escape z biblioteki MarkupSafe, która koduje znaki specjalne w html, co powoduje, że są one wyświetlane poprawnie w rekordach, lecz nie są poprawnie interpretowane jako część skryptu javascript.