ANTICHAT

ANTICHAT (https://forum.antichat.io/index.php)
-   Песочница (https://forum.antichat.io/forumdisplay.php?f=189)
-   -   XSS Вопрос (https://forum.antichat.io/showthread.php?t=448875)

brown 04.03.2017 20:10
Есть активная ХСС в пост запросе на контактной форме

Код:
URL encoded POST input address was set to 3137%20Laguna%20Street'"()&%iAJG(9983)
Как осуществить атаку?Про снифер и тд знаю.

porosen0k 04.03.2017 21:08
в пост запросе- это пассивная, а если скрипт сохраняется на страничке, тогда это активная хсс

ссылку на снифер пишешь и ловишь куки

brown 04.03.2017 23:01
Цитата:
Сообщение от porosen0k
↑
в пост запросе- это пассивная, а если скрипт сохраняется на страничке, тогда это активная хсс
ссылку на снифер пишешь и ловишь куки
а как быть с пасивной?

Gorev 04.03.2017 23:26
Цитата:
Сообщение от brown
↑
а как быть с пасивной?
заинтересуй жертву нужной ссылкой, ткни носом так сказать.POC-ов много в инете

porosen0k 05.03.2017 16:04
перехвати пост-запрос программой или плагином к браузеру, можно попробовать переделать его в GET

типа script.php?=... и подставь нужные параметры

SooLFaa 07.03.2017 12:08
Проверь сначала что сессия хранится без флага HTTP_ONLY иначе твой "сниффер" пустышка.


Время: 05:50