Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Autore: Damiano Capo
Il Cross-site tracing (XST) è una forma sofisticata di cross-site scripting (XSS) che può aggirare le contromisure di sicurezza già messe in atto per proteggere da XSS. Un attacco XST (Cross-Site Tracing) comporta l’utilizzo di Cross-site Scripting (XSS) e dei metodi HTTP TRACE o TRACK.
Un tipico attacco XST può iniziare quando un utente Internet incauto visita un sito ospitato da un server compromesso. Il server invia il codice di scripting al computer della vittima. Il computer della vittima invia una richiesta HTTP TRACE a qualche altro sito visitato di recente dal computer della vittima. Il secondo sito invia quindi cookie o altri dati di autenticazione al server violato e quindi rende i dati disponibili all’utente malintenzionato.
Benchè molto somigliante al Cross-Site Scripting (XSS), lo scopo finale dell’XST non è l’iniezione di codice Javascript. Infatti, lo scopo dell’Cross Site Tracing è di leggere le intestazioni HTTP che sono altrimenti bloccate per l’accesso ai JavaScript
Consideriamo la richiesta sottostante:
| $ curl -X TRACE -H “X-Header: test” test.com TRACE / HTTP/1.1 User-Agent: curl/7.24.0 Host: host.fittizio.com Accept: */* X-Header: test |
Il Curl è uno strumento utilizzabile da riga di comando che permette il trasferimento dei dati utilizzando i protocolli di rete.
Come si può vedere, viene inviato solo l’header. Il problema è che TRACE visualizzerà tutte le informazioni inviate al server, compresi i cookie e le stringhe di autenticazione web, poiché anch’essi sono solo headers.
Per proteggersi da XST, gli utenti di Internet possono disabilitare JavaScript o ActiveX nei loro browser. Tuttavia, questo rende inutilizzabili molte funzioni che gli utenti di Internet danno per scontate. Esistono altre misure meno problematiche che si possono attuare.
Ad esempio, è possibile configurare il browser in modo che cancelli automaticamente tutti i cookie al termine di ogni sessione. Alcuni browser, come Firefox e Opera, consentono agli utenti di cancellare facilmente tutti i dati personali memorizzati in qualsiasi momento. Gli amministratori dei server possono impostare i server in modo da disabilitare HTTP TRACE per impostazione predefinita.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/