Meu site está sendo importado por “cross_site_scripting.nasl”. Sobre o que é isso?

Question

Meu site está lançando grandes lotes de mensagens de "links quebrados". Eu suponho que estou sendo investigado por uma vulnerabilidade específica.

Eu quero saber o que o criminoso está procurando, como esperam que ele funcione, seja diretamente, ou de uma vítima involuntária ... todo esse tipo de coisa. Qualquer coisa que você pode ser capaz de me dizer sobre isso.

Uma preocupação é que exista um ponto no site onde os usuários podem inserir seu próprio HTML, que é então apresentado pelo nosso servidor; isso poderia estar relacionado com isso?

Existem cerca de duas dúzias de variações destes:

Referrer: http://210.11.22.33/<script>cross_site_scripting.nasl</script>.jspa
Requested URL: /<script>cross_site_scripting.nasl</script>.jspa

Referrer: http://210.11.22.33/<IMG%20SRC="javascript:alert(cross_site_scripting.nasl);">.jspa
Requested URL: /<IMG SRC="javascript:alert(cross_site_scripting.nasl);">.jspa

Referrer: http://210.11.22.33/<meta%20http-equiv=Set-Cookie%20content=%22testbvny=9424%22>
Requested URL: /<meta http-equiv=Set-Cookie content="testbvny=9424">

Referrer: http://210.11.22.33/<IMG%20SRC="javascript:alert(cross_site_scripting.nasl);">.idc
Requested URL: /<IMG SRC="javascript:alert(cross_site_scripting.nasl);">.idc

    

Answer 1

One concern is that there is a spot on the site where users can enter their own HTML which is then presented by our webserver; could this be related to that?

Com base nos URIs solicitados, isso não está relacionado a isso.

O atacante parece estar investigando seu documento 404 para ver se ele pode executar um ataque XSS - se você viu esta atividade em seu "retorno HTML para visitante" URI, então você iria querer começar por aí, mas neste caso não não parece que um URI válido é o alvo.

Assegure-se de que sua página 404 escapa de qualquer URL fornecida e não permita a passagem do HTML sem escape, depois verifique se o recurso HTML está protegido, caso ainda não o tenha feito (ou seja, solicitando que um token de uso único seja publicado sempre que o recurso é usado).