Wszystko

Wszystkie

Archiwum

D.....s
D.....s
  • 9
Kto chce zobaczyć XSSa na wykopie, niech wchodzi na mój profil - może to zmotywuje kogoś w supporcie by to naprawili. Plusiki mile widziane ( ͡° ͜ʖ ͡°)

@a__s, może Ty szepniesz tam komuś by sprawdzili czasami zgłoszenia w supporcie xD
#wykop #xss #davyjonespsujewykop <- to tak na zaś gdybym jeszcze coś złapał
  • 6
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
A.....t
A.....t
  • 1
#zagadkihakerskie #security #programowanie

Proponuję kolejną zagadkę hakerską, znów na tapetę bierzemy #xss. Pod adresem http://hakerium.cba.pl/zad8/ znajduje się strona z banalną podatnością typu XSS. Wystarczy wpisać dowolny tekst HTML i zostanie on wyświetlony na stronie, np. http://hakerium.cba.pl/zad8/?imie=%3Cscript%3Ealert%281%29%3C/script%3E

Na czym polega więc zagadka, skoro już podałem rozwiązanie? Ano na tym, że pole
  • 12
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
A.....t
A.....t
  • 1
@koziolek: @rationalistic: OK, a więc rozwiązanie, o które mi chodziło:

Skorzystamy z tagu iframe i umieścimy XSS-owaną domenę wewnątrz tego iframe'a. Ze względu na same origin policy nie ma możliwości odwoływać się do jakichkolwiek atrybutów strony wewnątrz iframe'a, jeśli ta jest z innej domeny (z kilkoma wyjątkami, m.in.

postMessage
, który tutaj akurat się nie przysłuży). Istnieje jednak pewien atrybut, na który poprzez iframe'a możemy mieć wpływ -
  • Odpowiedz
A.....t
A.....t
  • 17
#security

Opowiem o ciekawym przypadku #xss, który znalazłem ostatnio na #wykop i został już naprawiony. Ciekawy jest dlatego, że nie tak łatwo go wyexploitować... Ale po kolei.

Podatność występowała na niektórych podstronach bezpośrednio w adresach. Gdy w adresie został umieszczony znak cudzysłowia, a następnie nawiasy ostre, można było wyjść z tagu i wprowadzić dowolny kod HTML. Przykład na screenie: http://i.imgur.com/ulCWnvo.png
A.....t - #security Opowiem o ciekawym przypadku #xss, który znalazłem ostatnio na...
  • 9
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach

Powiązane tagi