Payloads poliglotas são strings de ataque válidas em vários contextos, capazes de contornar filtros de segurança. Por exemplo, uma string pode ser ao mesmo tempo JavaScript válido e HTML válido. Esses payloads sofisticados podem explorar diferenças entre parsers e escapar da sanitização. A prevenção exige validação de entradas e codificação de saídas sensíveis ao contexto.
Um payload poliglota é uma única string elaborada para ser válida, e para fazer algo útil ao atacante, em mais de um contexto de análise ao mesmo tempo. Um exemplo web clássico é uma sequência que se comporta como texto comum em HTML, como valor de atributo e como JavaScript executável, de modo que, seja qual for a forma como a página interpretar a entrada, parte dela ainda dispara a execução de script. Os atacantes os constroem combinando fragmentos que encerram um contexto e abrem outro, usando truques de comentário e caracteres que analisadores diferentes tratam de maneiras distintas. A mesma ideia aparece em formatos de arquivo, onde um arquivo é simultaneamente uma imagem válida e um script ou arquivo compactado válido.
Os poliglotas existem para derrotar defesas específicas de contexto. Muitos filtros de entrada e sanitizadores presumem que sabem onde os dados do usuário vão parar, um corpo HTML, uma URL, uma string JavaScript, e codificam apenas para esse caso. Um payload que permanece válido em vários contextos escapa de filtros ajustados para apenas um e explora as diferenças entre como um sanitizador do lado do servidor e o analisador do navegador leem os mesmos bytes. Isso torna os poliglotas os favoritos para XSS que sobrevive às regras de web application firewall e para uploads que passam por uma verificação de imagem, mas executam como script. Uma única string reutilizável pode sondar muitos pontos de injeção, reduzindo o esforço para encontrar um que dispare.
A defesa começa com a codificação de saída sensível ao contexto: codifique os dados para o destino exato em que eles caem (HTML, atributo, URL, JavaScript, CSS) em vez de aplicar um filtro genérico, e prefira APIs seguras do DOM como textContent em vez de innerHTML. Valide os uploads pelo tipo de conteúdo e recodifique os arquivos no lado do servidor para que um poliglota não consiga manter sua segunda identidade. Uma Content Security Policy estrita limita o que um script injetado pode fazer, mesmo que um payload consiga entrar. A cside complementa esses controles analisando o comportamento dos scripts que realmente são executados no navegador e bloqueando atividades maliciosas em tempo real, em vez de depender de filtros que uma string engenhosamente codificada pode contornar.
Um payload de XSS padrão tem como alvo um contexto conhecido. Um poliglota é projetado para permanecer válido em vários contextos ao mesmo tempo, então o atacante não precisa saber exatamente como a aplicação vai analisar a entrada; a mesma string funciona seja ela colocada em HTML, em um atributo ou em JavaScript.
Sim. Poliglotas de arquivo são elaborados de modo que um único arquivo satisfaça duas especificações de formato ao mesmo tempo, por exemplo um GIF válido que também é JavaScript executável. Eles são usados para contornar filtros de upload ou verificações de tipo de conteúdo que validam apenas contra um único formato esperado.
We answer client-side security questions every day. Bring yours.