Руководство по применению: как обойти XSS-фильтры

Forevonly

Original poster
Pro Member
Сообщения
599
Реакции
602
Посетить сайт
573fb8cefe235da1ff251.jpg

Практически в любом веб-проекте есть уязвимости, и я научу вас использовать это обстоятельство в своих целях. Практических, конечно же.

Как исследовать элемент Site Name
Любое web-приложение работает по принципу кодировки символов «<» и «>». Для начала, нужно выяснить каким образом происходит обработка. Проверку получится обойти, если она происходит на стороне клиента HTML5/Javascript.

Итак, откройте страницу в удобном браузере, правой кнопкой мыши кликните на форме «Site Name». Вы увидите контекстное меню. Для того, чтобы открыть окно с редактированием свойств элементов необходимо выбрать пункт под названием "Inspect Element".

Как удалить все ограничения на стороне клиента
Тут все очень просто. Потребуется всего лишь увеличить значение в поле maxsize, при этом предварительно удалив поле pattern. Итого, мы получаем:

<input type="text" placeholder="Name of site" maxsize=" 100" class="form-control" required="" name="name">

Как удалить код, отвечающий за кодирование символов
С большой вероятностью, символы "<" и ">" обрабатываются при помощи файла ex1.js (Javascript). Первым делом необходимо слегка отредактировать avascript-код на стороне клиента. Для этого предлагаю использовать плагин Web Developer. Удаляем код, который отвечает за кодирование HTML-символов, зайдя во вкладку Sources. Вот что у нас получается:

var siteName = $(".ex1 input[type='text']").val().trim().replace(/</g, "<").replace(/>/g, ">"); var siteURL = $(".ex1 input[type='url']").val().trim().replace(/</g, "<").replace(/>/g, ">");

Как добавить полезную нагрузку
После удаления обработки символов на стороне клиента, в поле Site Name необходимо добавить следующую полезную нагрузку, не забыв нажать на Submit:

<script>alert('Ex1')</script>

Что имеем в сухом остатке? При помощи проведенных манипуляций, мы успешно инжектируем в страницу полезную нагрузку. Защититься от таких атак можно единственным способом: необходимо, чтобы проверка данных пользователя происходила на стороне сервера.

Спасибо за прочтение.
 
Название темы
Автор Заголовок Раздел Ответы Дата
Chomba Руководство по пассивному заработку SerfMoney 9.0 Обучения, схемы, мануалы 1
YoungKitty Автоматический БОТ по продаже саморегов VCC / БА / Paypal и др. Аккаунты/Админки/Документы 0
Denik Интересно ФСБ сообщило, что члены хак-группы REvil арестованы по запросу США Новости в сети 0
HostingSupport !!АКЦИЯ!!! СКУПАЮ AZURE по 5000 RUB Финансы - биллинги, банки, кошельки, логи 0
nord_man Автоматический сервис по продаже сканов/фото документов Кардинг предложения 1
Senemany Куплю Бот по скупу TELEGRAM | От 5-7₽ | TDATA - папка из логов Куплю/Обменяю 0
fx7support Партнерка «Секс по телефону по предоплате» или «обратный звонок» Способы заработка 0
Jinaktiv Услуги по чекингу номеров авито Ищу работу. Предлагаю свои услуги. 0
buy_accounts_org Продам Качественные аккаунты соцсетей, мобильные прокси по лучшим ценам - BUY-ACCOUNTS.ORG Аккаунты/Админки/Документы 0
Khan Проверено «KHAN Service» Комплексный пробив и сбор информации по всем базам Украины Пробив информации/Прозвоны 1
119emperor 》DDOS аТаки《 услуги по временному отключению сайтов. Ищу работу. Предлагаю свои услуги. 0
Kalash Интересно Возьму на обучению по PayPal Предоставляю работу. Ищу специалиста. 0
A Обмен криптовалюты на наличные и онлайн по всему миру all24.cc Обменники 26
bobanuk Нужна база по городам миллионикам с гео данными Вопросы и интересы 0
HostingSupport Куплю Куплю логи по данным сервисам AZURE, RACKSPACE, HETZNER, LINODE, IONOS, AWS Amazon,и др Куплю/Обменяю 0
Data_UA Халявный бот для пробива по номеру телефона Другое 1
st.ap Схема по заработку на конвертации трафика из ютуба на кинопартнёрку. Способы заработка 1
K предлагаю работу по регистрации акк Предоставляю работу. Ищу специалиста. 1
Y в поисках врачей по украине Предоставляю работу. Ищу специалиста. 0
L Продам lacost.net - гипермаркет аккаунтов соц сетей, почтовых и других сервисов. Купить аккаунты вк, инстаграм, фейсбук и др. соц сети по приемлемым ценам. Аккаунты/Админки/Документы 1
F flashexchange.money - Онлайн обменник по обмену криптовалюты на рубли, евро и доллары. Обменники 21
Denik Интересно Слив курса по анонимности от Paranoid Другое 0
D Вопрос по PentestBox Вопросы и интересы 7
DDOSROOM Проверено DDOS услуги по самым низким ценам на любые сроки Спам / Флуд / Ддос 11
M Специалист по информационной безопасности Предоставляю работу. Ищу специалиста. 0
M Специалист по информационной безопасности Предоставляю работу. Ищу специалиста. 0
detaiist Пробив по Сбербанку Ищу работу. Предлагаю свои услуги. 1
Denik Интересно 17 000 пользователей по всему миру атакованы банкером QakBot с начала года Новости в сети 0
Vito Skaletta Ищу партнеров-поставщиков по всей РФ Предоставляю работу. Ищу специалиста. 0
S Новые базы 2гис и Яндекс карты за сентябрь 2021 г. Глобальное обновление по всем странам Все что не подошло по разделу 0
Good Profit Продам Автоматизированный бот по продаже Фуллок(FullzUSA) с выборкой Карты/CC/Банки/Enroll 2
ONPROXY Продам ONPROXY.NET Приватные прокси по доступным ценам от 25 рублей за штуку. Промо-код: discount на 35% Дедики/VPN/соксы/ssh 0
Khan Слив курса по заработку в ТикТоке за 25000 руб Способы заработка 0
Р Интересно Способ вывода с Binance и других бирж без верификации по СМС или 2FA Способы заработка 0
S Новые базы 2гис и Яндекс карты за сентябрь 2021 г. Глобальное обновление по всем странам Все что не подошло по разделу 1
G Golden Birds - это, на мой взгляд, самый лучший проект по заработку денег в сети Интернет Корзина 0
АнАлЬнАя ЧуПаКаБрА Слив мануала по BLACK RESELL Другое 0
Walalusur Слив [Андрей Коган] Курс по поставкам из Китая (2021) Способы заработка 0
lizun [АКТУАЛЬНО][Легкий заработок для всех][от 500руб в день][Без ограничений по заработку] Способы заработка 15
A #1 VLLOGS | Магазин только крутых игровых логов | Выбор логов по регионам Все что не подошло по разделу 0
T Работа менеджером по продажам удаленно Предоставляю работу. Ищу специалиста. 1
S Базы казино по 2021 г. включительно. Все страны Все что не подошло по разделу 1
C Сервис по взлому-услуги хакера-заказать взлом на Заказ в [email protected] - Услуги Хакера. Приветствую участников форума! Станьте королем момента Ищу работу. Предлагаю свои услуги. 0
S Email рассылка по юрлицам, физлицам, датинг, форекс, казино базам. Половина стран мира! Все что не подошло по разделу 0
N нужны люди по usa Предоставляю работу. Ищу специалиста. 0
TGK1NG Telegram K1ng - вывод в ТОП и накрутка Telegram каналов по вашему ключевому запросу Ищу работу. Предлагаю свои услуги. 0
richsm Услуги по YT, VK, Inst, TikTok, Facebook! richsmm.ru Ищу работу. Предлагаю свои услуги. 0
V Продам Продажа дедиков от 80 рублей по странам Дедики/VPN/соксы/ssh 1
119emperor DDOS аТаки !!!- услуги по временному отключению сайтов/серверов Ищу работу. Предлагаю свои услуги. 2
Matershinnik Обматерю Вашего недруга по телефону! Качественно, со злостью! Все виды телефонного пранка! Всего за 490 руб! Корзина 3

Название темы