Руководство по применению: как обойти XSS-фильтры

Forevonly

Original poster
Pro Member
Сообщения
599
Реакции
601
Посетить сайт
573fb8cefe235da1ff251.jpg

Практически в любом веб-проекте есть уязвимости, и я научу вас использовать это обстоятельство в своих целях. Практических, конечно же.

Как исследовать элемент Site Name
Любое web-приложение работает по принципу кодировки символов «<» и «>». Для начала, нужно выяснить каким образом происходит обработка. Проверку получится обойти, если она происходит на стороне клиента HTML5/Javascript.

Итак, откройте страницу в удобном браузере, правой кнопкой мыши кликните на форме «Site Name». Вы увидите контекстное меню. Для того, чтобы открыть окно с редактированием свойств элементов необходимо выбрать пункт под названием "Inspect Element".

Как удалить все ограничения на стороне клиента
Тут все очень просто. Потребуется всего лишь увеличить значение в поле maxsize, при этом предварительно удалив поле pattern. Итого, мы получаем:

<input type="text" placeholder="Name of site" maxsize=" 100" class="form-control" required="" name="name">

Как удалить код, отвечающий за кодирование символов
С большой вероятностью, символы "<" и ">" обрабатываются при помощи файла ex1.js (Javascript). Первым делом необходимо слегка отредактировать avascript-код на стороне клиента. Для этого предлагаю использовать плагин Web Developer. Удаляем код, который отвечает за кодирование HTML-символов, зайдя во вкладку Sources. Вот что у нас получается:

var siteName = $(".ex1 input[type='text']").val().trim().replace(/</g, "<").replace(/>/g, ">"); var siteURL = $(".ex1 input[type='url']").val().trim().replace(/</g, "<").replace(/>/g, ">");

Как добавить полезную нагрузку
После удаления обработки символов на стороне клиента, в поле Site Name необходимо добавить следующую полезную нагрузку, не забыв нажать на Submit:

<script>alert('Ex1')</script>

Что имеем в сухом остатке? При помощи проведенных манипуляций, мы успешно инжектируем в страницу полезную нагрузку. Защититься от таких атак можно единственным способом: необходимо, чтобы проверка данных пользователя происходила на стороне сервера.

Спасибо за прочтение.
 
Название темы
Автор Заголовок Раздел Ответы Дата
Chomba Руководство по пассивному заработку SerfMoney 9.0 Обучения, схемы, мануалы 1
M Специалист по информационной безопасности Предоставляю работу. Ищу специалиста. 0
M Специалист по информационной безопасности Предоставляю работу. Ищу специалиста. 0
detaiist Пробив по Сбербанку Ищу работу. Предлагаю свои услуги. 0
Denik Интересно 17 000 пользователей по всему миру атакованы банкером QakBot с начала года Новости в сети 0
Vito Skaletta Ищу партнеров-поставщиков по всей РФ Предоставляю работу. Ищу специалиста. 0
S Новые базы 2гис и Яндекс карты за сентябрь 2021 г. Глобальное обновление по всем странам Все что не подошло по разделу 0
Good Profit Продам Автоматизированный бот по продаже Фуллок(FullzUSA) с выборкой Карты/CC/Банки/Enroll 2
ONPROXY Продам ONPROXY.NET Приватные прокси по доступным ценам от 25 рублей за штуку. Промо-код: discount на 35% Дедики/VPN/соксы/ssh 0
Khan Слив курса по заработку в ТикТоке за 25000 руб Способы заработка 0
Р Интересно Способ вывода с Binance и других бирж без верификации по СМС или 2FA Способы заработка 0
S Новые базы 2гис и Яндекс карты за сентябрь 2021 г. Глобальное обновление по всем странам Все что не подошло по разделу 1
G Golden Birds - это, на мой взгляд, самый лучший проект по заработку денег в сети Интернет Корзина 0
АнАлЬнАя ЧуПаКаБрА Слив мануала по BLACK RESELL Другое 0
Walalusur Слив [Андрей Коган] Курс по поставкам из Китая (2021) Способы заработка 0
lizun [АКТУАЛЬНО][Легкий заработок для всех][от 500руб в день][Без ограничений по заработку] Способы заработка 4
A #1 VLLOGS | Магазин только крутых игровых логов | Выбор логов по регионам Все что не подошло по разделу 0
T Работа менеджером по продажам удаленно Предоставляю работу. Ищу специалиста. 1
S Базы казино по 2021 г. включительно. Все страны Все что не подошло по разделу 1
C Сервис по взлому-услуги хакера-заказать взлом на Заказ в [email protected] - Услуги Хакера. Приветствую участников форума! Станьте королем момента Ищу работу. Предлагаю свои услуги. 0
S Email рассылка по юрлицам, физлицам, датинг, форекс, казино базам. Половина стран мира! Все что не подошло по разделу 0
N нужны люди по usa Предоставляю работу. Ищу специалиста. 0
TGK1NG Telegram K1ng - вывод в ТОП и накрутка Telegram каналов по вашему ключевому запросу Ищу работу. Предлагаю свои услуги. 0
richsm Услуги по YT, VK, Inst, TikTok, Facebook! richsmm.ru Ищу работу. Предлагаю свои услуги. 0
V Продам Продажа дедиков от 80 рублей по странам Дедики/VPN/соксы/ssh 1
119emperor DDOS аТаки !!!- услуги по временному отключению сайтов/серверов Ищу работу. Предлагаю свои услуги. 2
Matershinnik Обматерю Вашего недруга по телефону! Качественно, со злостью! Все виды телефонного пранка! Всего за 490 руб! Корзина 3
uchenik07 [Услуги по бану] Instagram Инстаграм Блокировка / Удаление аккаунтов ban block Ищу работу. Предлагаю свои услуги. 4
Б Продам Пробив информации по ИНН, Авто, ФИО, Телефону, паспорту, человеку, адресу Пробив информации/Прозвоны 1
W Комплексный прогон по трастовым сайтам, статейное размещение. Рост НЧ-СЧ, Икс. Ищу работу. Предлагаю свои услуги. 1
Zer0D4y Продам скрипт для спама по группам и лс телеграмма. Все что не подошло по разделу 1
SMMStats SMMStats.ru - Накрутим везде. Более 2500 SMM услуг по раскрутке. YouTube, TikTok, Instagram, VK, Telegram, Twitter.. Лайки, комментарии, подписчики... Ищу работу. Предлагаю свои услуги. 11
9779 Интересно tails ОЧЕНЬ подробный гайд по установке.Ч2 Анонимность и приватность 5
killasel Пробив по гос. Структурам России и Украины. В телегу killasel Пробив информации/Прозвоны 1
9779 Интересно tails ОЧЕНЬ подробный гайд по установке.Ч1 Анонимность и приватность 5
Flander2 Нужен специалист по hh.ru Предоставляю работу. Ищу специалиста. 1
bu8ba Интересно Слив более 49 бело-серых схем по заработку Способы заработка 4
bu8ba Большой слив курсов по Тик-Ток Способы заработка 0
adflak Вам нужны клиенты с теневых форумов по вкусной цене? Ищу работу. Предлагаю свои услуги. 15
BBTgang Продам NeverShop, бот по продаже валид баз и аккаунтов Аккаунты/Админки/Документы 0
adflak (Акция) Рассылка по чатам телеграм 5 дней - 1000₽ [img]https://c.radikal.ru/c41/2103/23/8c145b21e450.gif[/img] Рассылка по чатам телеграм – один из эф Ищу работу. Предлагаю свои услуги. 1
$ Ищем людей по направлениям хакинг, обмен и кардинг Ищу работу. Предлагаю свои услуги. 1
Friends Бот по отрисовки фейк чеки популярных приложений Ищу работу. Предлагаю свои услуги. 0
L Приглашаются дроповоды по ЕС на стабильную работу с высокой оплатой. Предоставляю работу. Ищу специалиста. 2
Uno-uno Интересно Обучение по Enroll Способы заработка 0
Khan Россиянин Кирилл Фирсов, задержанный в США по подозрению в похищении данных, признал свою вину Новости в сети 1
turbion0 Пробив и поиск информации по всем структурам. ↯Turbion Service↯ Финансы - биллинги, банки, кошельки, логи 2
D Ищу партнеров для работы по белому!!! Предоставляю работу. Ищу специалиста. 0
O Куплю покупаю каналы YouTube по хорошей цене Куплю/Обменяю 0
O Куплю покупаю каналы YouTube по хорошей цене Куплю/Обменяю 0

Название темы