Zaid: Porozmawiajmy więc o
tym, jak odkryć tego rodzaju luki.
Bardzo podobny do zastrzyków SQL, sposobem na to
jest przeglądanie celu i próba wstrzyknięcia
dowolnego pola
tekstowego lub dowolnego adresu URL wyglądającego
podobnie do tego.
Dlatego za każdym razem, gdy widzisz adres URL
z parametrami, spróbuj wstrzyknąć te
parametry lub spróbować wstrzyknąć do pól tekstowych.
Spójrzmy więc na odzwierciedlony przykład XSS.
Są to więc nietrwałe, niezapisane luki, w których należy
wysłać kod do celu, a gdy cel
uruchomi kod, zostanie
on wykonany na ich komputerze.
Rzućmy okiem na naszą stronę DVWA.
I po prostu się zaloguję.
A potem będziemy mieć przykład odbijanego XSS.
Jak możesz teraz zobaczyć, możesz wpisać tutaj swoje
imię dla tego pola
tekstowego, a ono powie tylko „Cześć”.
Jest to oczywiście tylko przykład, ale pomysł
polega na tym, że możesz wstrzykiwać w pola tekstowe.
Również, jeśli spojrzysz na adres tutaj, zobaczysz, że
to dostaniesz,
więc możesz również wstrzyknąć do adresu URL.
Więc pozwól mi uruchomić Leafpad.
Spróbujmy wstrzyknąć na to kod XSS i
sprawdzić, czy kod zostanie wykonany, czy
kod JavaScript, przepraszam.
Więc zamierzam użyć bardzo prostego skryptu, więc używamy
skryptu i znacznika skryptu plasterkowego. Istnieje wiele sposobów
na wykrycie tego rodzaju luk i
wiele sposobów na
ominięcie filtrów, ale dla teraz
patrzymy tylko na podstawowy przypadek,
w którym możemy wstrzyknąć normalny skrypt.
I zamierzam powiedzieć „alert”, która jest tylko funkcją
ostrzeżenia, aby dać pole tekstowe,
i powiem ...
„XSS”.
Kliknę więc „prześlij”
i zobaczymy, czy ten kod zostanie wykonany.
I jak widać teraz, faktycznie wykonał mój kod.
Więc zamiast powiedzieć „Cześć Zaid” tutaj, powiedział
„Cześć”, a mój kod został wykonany i wygenerował ten „XSS”.
Więc możemy zrobić to samo tutaj, jeśli spojrzysz na adres URL,
faktycznie już to zrobił dla nas.
Ale jeśli spojrzymy na adres tutaj,
będzie on trochę większy.
Widzimy, że nazwa była
oczywiście wszystkie te znaki są tylko
znakami ucieczki HTML.
A teraz, jeśli wyślesz ten adres do kogokolwiek,
kto go wyświetli, kod zostanie wykonany na jego
komputerze i powie „XSS”.
Pokażę ci
tutaj, możesz też wstrzyknąć to do adresu
URL, chcę tylko zasiać ci całą ideę tego.
Mamy więc skrypt, wycinek skryptu XSS.
A jeśli kliknę Enter, kod zostanie wykonany.
Tak jak powiedziałem, możemy to skopiować
i wysłać do pewnej osoby, a
gdy uruchomią ten kod, kod ten zostanie wykonany na
ich komputerze.