Wat is DOM Snitch?
DOM Snitch is een experimentele Chrome-extensie die het mogelijk maakt non-security testers identificeren van gemeenschappelijke slechte praktijken bij de productie van client-side code en veiligheid testers krijgen een beter begrip van de transformaties die zich voordoen binnen de DOM.
Huidige mogelijkheden
De mogelijkheid om DOM modificatie te luisteren en het verzamelen van debug gegevens over deze wijzigingen
De mogelijkheid sorteren en groeperen verzamelde informatie als middel voor het analyseproces van deze gegevens vereenvoudigen
De mogelijkheid om passief te detecteren en te markeren als fouten of waarschuwingen aantal makkelijk te volgen veiligheidsproblemen te spotten, waaronder:
Gebruik van de gebruiker gecontroleerde gegevens die afkomstig is van een van beide URL, referrer, of koekjes bij de constructie van DOM waar de gegevens ook wordt gecontroleerd op met HTML escape-tekens (dwz "')
Gebruik van scripts die niet worden gehost op het domein van de applicatie
Gebruik van scripts die zou resulteren in gemengde inhoud fouten
Gebruik van ongeldige JSON syntax, waardoor het gebruik van eval () in tegenstelling tot een veel veiliger alternatief functie (bijv JSON.parse ())
opdrachten van document.domain allesbehalve origineel hostname waarde van de applicatie (zoals gegeven door de browser op renderen tijd)
De mogelijkheid om alle of subsets van verzamelde gegevens exporteren als platte tekst of via Google Docs
Reacties niet gevonden