Failles XSS : encoder les urls
Nombreux sont ceux qui ont lu les articles sur les failles XSS, si précieuses pour récupérer des liens de sites .gov et autres .edu, et qui perdent parfois un temps fou à les transcoder pour les faire indexer rapidement.
Pour rappel, les failles XSS (Cross Site Scripting) permettent d’injecter du code dans une page donnée mal sécurisée, via un paramètre de l’url.
Dans le cas présent, nous ne cherchons qu’à déposer un lien qui sera invisible pour l’administrateur du site qui ne regarde pas ses logs. Cependant, les applications peuvent être tout à fait meurtrières pour les sites visés. Attention donc à veiller à sécuriser vos sites 
On connaît plusieurs techniques pour faire indexer ces liens : les caching proxies, les liens cachés dans les sites qui ne nous appartiennent pas, les pages “satellites” (qu’elles servent encore à quelque chose 
) etc…
Mais la problématique demeure… Comment aller plus vite pour encoder les urls et les balancer sur le web ?
Aujourd’hui c’est un petit outil très simple que je vous propose, et qui fera gagner du temps à ceux qui ne l’ont pas déjà développé.
Il s’agit d’un script PHP simplissime qui vous présente un formulaire à trois champs dans lesquels il vous suffit d’entrer l’url de la page à scripter avec le paramètre qui nous intéresse laissé vide et en dernier (cf. exemple), l’url de la page que vous souhaitez linker et l’ancre du lien.
Le résultat sera le code source du lien à ajouter (ou plutôt à injecter) dans les pages que l’on vise.
Le script d’encodage est en téléchargement libre ici : XSS encoding script
et en démo sur cette page : Démo XSS encoding script
A vous maintenant de linker les pages que vous avez indexées pour les populariser
Tags: Black Hat SEO, cross site scripting, script, scripts, XSS
février 2, 2009 à 18:11
Au risque de passer pour un idiot,
le code obtenu, je le pose ou ?
je dois “”"hacker”"” la page cible pour y poser mon lien ou je visite le lien proposé ?
bref un peu d’éclaircissement pour m’aider à comprendre ne serait pas de refus
février 2, 2009 à 21:47
@Niko: en fait, tu dois faire indexer le lien ainsi obtenu, donc tu dois intégrer le code dans une page HTML que Google viendra visiter. De cette manière, il verra ce que tu veux lui montrer
février 3, 2009 à 9:58
ah ok c’est si simple que ca me paraissait trop facile
(enfin après avoir vu ton script)
merci de l’info
février 3, 2009 à 21:37
J’ai pas trop compris… il encode rien sur ta page d’exemple… il met juste le lien à la fin, et c’est tout. Je me trompe?
Tu l’utilises avec les failles sur des formulaires de recherche (article vu je sais plus où … peut être chez Tiger)… c’est du XSS ça? C’est une question naïve, j’ai jamais trop compris quand est-ce qu’une faille était XSS.
Sinon ça pourrait faire un bon article de préciser un peu comment tu cherches de tels sites : crawl brutal sur des résultats google puis tests sur la page cibles? à la main? avec des outils tout fait?
Bref, désolé, mais j’ai pas trop compris ce que ton script apportait :p mais le post a eu l’avantage de me rappeler qu’il fallait pas oublier les bons vieux trucs et astuces que nous fournissent les webmasters paresseux!
février 3, 2009 à 22:03
@Jice: Oui tu te trompes
En fait c’est rapidement abordé dans l’article. On parle de faille car c’est une vulnérabilité du site, et XSS pour Cross Site Scripting (attaque à distance) plus d’infos http://fr.wikipedia.org/wiki/Cross_site_scripting
Tiger a montré sur son blog http://www.seoblackout.com comment retrouver les sites vulnérables, notamment avec les formulaires de recherche, c’est pourquoi je reprends pas ce point là, je pense que tout le monde sait où trouver l’info
Le script permet d’encoder les paramètres de l’url et te donne le lien à coller dans le code source pour que les robots le suivent. C’est un outil de fainéants
février 5, 2009 à 16:14
où proposes-tu de mettre ces liens ? sur des blogs hostés par des 3rd party par exemple ?
février 5, 2009 à 22:13
Ben tu les mets là où bon te semble
Les caching proxies sont bien pour ça, je te conseille la lecture de l’article de Tiger sur le sujet
février 10, 2009 à 1:35
Hello,
sympa comme outil,
mais t’as un soucis, l’ancre ne remplace pas le texte “mon lien spammy”.
en revanche, t’as pas une méthode pour faire des urls plus courtes
?
histoire d’ajouter du contenu au lien. Déjà testé mais beaucoup trop long pour gogole.
février 10, 2009 à 16:52
Thanks
L’ancre demandée c’est celle qui apparaîtra sur la page visée, j’ai laissé “mon lien spammy” par défaut
Chacun pourra utiliser son ancre perso au moment de coller le code
Sinon, pour la taille des urls, je ne vois qu’une 301 vers les pages visées…
mars 22, 2009 à 10:13
Merci beaucoup, je voulais justement faire des tests sur les .gov et edu