Creo que fui víctima reciente de un script XSS que recopiló mis cookies; Sin embargo, no estoy seguro. Me pregunto si hay alguna forma de verificar (eliminé todas mis cookies).
No hay una manera fácil de verificar si usted como visitante del sitio, no un administrador de web ha sido víctima de un ataque de XSS.
Si se trata de un ataque reflejado (lo que significa que la carga útil estaría en la URL), puede revisar su historial de navegación y ver si encuentra algo que se parezca y la carga XSS en la URL: s al sitio en cuestión que has visitado.
Si se trataba de un ataque almacenado, tendría que revisar el código fuente de las páginas que ha visitado e intentar determinar qué hace el código y si está ocurriendo algo sospechoso. Es un proyecto bastante grande y requeriría muchos conocimientos sobre el desarrollo web.
Si le preocupa específicamente el robo de cookies, puede volver a visitar el sitio (asegúrese de no ingresar ninguna información confidencial) y ver qué cookies configura, y si están marcadas con HttpOnly . Si lo son, no pueden ser robados con XSS. Sin embargo, hay muchas otras cosas malas (como el registro de teclas) que puedes hacer con XSS, así que no estoy seguro de que este sea un ejercicio significativo.
¿Puede un atacante seguir recibiendo sus cookies insertando un script XSS en un sitio web basado en HTTPS?
HTTPS no protege contra XSS de ninguna manera, no es para lo que está diseñado. HTTPS protege sus datos contra el olfateo o el violín mientras está en tránsito desde el servidor al cliente. XSS, por otro lado, engaña al servidor para que te envíe un script antes , los datos llegan a la capa TLS y están cifrados.
¿Cómo podrían recibir los detalles de la cookie de mi tarjeta de crédito si el sitio web está basado en HTTPS?
Ver más arriba. Pero es importante comprender que las tarjetas de crédito nunca deben almacenarse en cookies. Hacer esto es una práctica horrible, y supongo que es una violación de PCI. (Eso no significa que no se pueda usar XSS para robar los datos de la tarjeta de crédito, puede hacerlo, incluso si la información no está en las cookies).
Cualquier consejo o respuesta ayudará, gracias.
Mi respuesta podría no ser muy alentadora para ti. La versión corta es que es muy difícil para usted saber si ha sido víctima de un ataque XSS.
Entonces, en lugar de eso, lo que haría sería contactarme con el sitio en cuestión, explicarles por qué está preocupado (por ejemplo, sobre la advertencia que recibió su amigo) y preguntarles si están al tanto de algún problema.
Algunas otras precauciones que puedes tomar son:
- Cambie su contraseña en el sitio.
- Si puede verificar su historial de inicio de sesión (o cualquier otro historial de acciones como compras), hágalo y vea si hay algo que no haya hecho.