Lightning Talks

Rules

 

6 conférences

5 minutes par conférences

 

Les XSS, c'est pas dangereux ? Je prends le contrôle de votre webcam avec BeEF

Mathieu Ferment

Les XSS, c'est rigolo

BeEF

​The Browser Exploitation
Framework Project

hook.js

Demo

Basée sur l'image docker
https://github.com/security-dockerfiles/beef

#!/bin/sh

docker run -itd \
           --name=beef \
           -p 3000:3000 \
           -p 6789:6789 \
           -p 61985:61985 \
           -p 61986:61986 \
           -e BEEF_USER=customuser \
           -e BEEF_PASSWORD=custompassphrase \
           ilyaglow/beef

Demo

La victime
http://localhost:3000/demos/basic.html
(page de demo beEF)

L'attaquant:
http://localhost:3000/ui/panel
(admin panel beEF)

Conclusion

- Les XSS sont dangereuses et vicieuses, elles ont l'air anodines mais peuvent permettre du vol de données très, très privées
 

- Sur un browser récent et à jour, il est presque impossible de voler des données sans protections, notifications, warnings du browser
 

- Cependant avec un peu de social engineering, on peut se faire passer pour Facebook, Firefox, Google ... et pousser la victime à nous donner accès à ses données

 

Pour aller plus loin

https://beefproject.com/

 

https://github.com/beefproject/beef/wiki

LT Forum PHP 2019 - XSS et BeEF

By prestamathieu

Source: metalmumu

LT Forum PHP 2019 - XSS et BeEF

shared presentation for lightning talk session of Forum PHP 2019 Paris

  • 673