Diese Vorlesung und die nächsten Vorlesungen, die wir über eine Sicherheitsanfälligkeit namens
Access informieren, ist kurz für ein Cross-Site-Scripting. Diese Art von Sicherheitsanfälligkeit ermöglicht es einem Angreifer,
Javascript in eine Seite einzuspeisen Diese Sicherheitsanfälligkeit, die ein Angreifer in der Lage ist, in
einer bestimmten Seite in JavaScript geschriebenen Code auf einer Website auszuführen, ist Javascript eine Sprache der
Client-Site.
Wenn der Code ausgeführt wird, wird er auf dem Client auf dem Benutzer der Person ausgeführt, die die
Webseite durchsucht.
Es wird nicht auf dem Server ausgeführt.
Selbst wenn Ihr Code dazu führt, dass Sie eine Reverse-Shell erhalten, wird die Shell vom Benutzer stammen,
der die Seite durchsucht, und nicht von der Website.
Jeglicher Code, den Sie in Javascript schreiben, wird also ausgenutzt oder auf dem Zielbenutzer ausgeführt, und zwar auf
den Personen, die die Seiten sehen, und nicht auf dem Webserver. Daher wird der Webserver nur als Mittel zur Ausführung des Codes oder zur
Bereitstellung des Codes verwendet Code.
Es gibt drei Hauptzugriffstypen, da Schwachstellen dauerhaft oder gespeichert sind und der gespeicherte Zugriff
von Home-Based in der Datenbank gespeichert wird.
Der von Ihnen eingegebene Code wird also in der Datenbank oder auf der Seite gespeichert, sodass jedes Mal,
wenn eine Person diese Seite betrachtet, Ihr Code ausgeführt wird.
Der Code wird nur dann ausgeführt, wenn der Zielbenutzer eine bestimmte von Ihnen erstellte oder erstellte
Kur durchführt.
Sie manipulieren also eine Art Ihres L und senden es an ein Ziel, und wenn dieses Ziel ausgeführt wird,
wenn Sie es ausführen.
Der Code wird
ausgeführt und basiert nicht auf Javascript-Code, der auf dem Client geschrieben wurde.
Der Code wird also auf der Clientseite interpretiert und ausgeführt, ohne dass eine Kommunikation mit
dem Webserver erfolgt.
Dies kann sehr gefährlich sein, da Webserver manchmal eine Art von Sicherheitsinfiltration anwenden, um den
Zugriff zu überprüfen.
Bei Home-Based wird der Code jedoch nie an den Webserver gesendet.
Der Aufruf wird also interpretiert und im Webbrowser ausgeführt, ohne mit dem Webserver zu interagieren, und diese
werden auf Websites vorhanden sein, die ihren Inhalt aktualisieren.
Mit dieser Aktualisierung haben wir alle Websites verwendet, auf denen Sie beispielsweise Ihren Benutzernamen eingeben und dieser wird sofort
geladen, ohne dass Sie sich an den Webserver wenden müssen.
Oder setzen Sie eine Art Zeichenfolge und suchen nicht, ohne mit dem Webserver zu kommunizieren, oder
tun etwas mit der Kommunikation mit einem Webserver.
Wenn Sie also injizieren können, wird diese Injektion nicht validiert.
Es wird also sofort ausgeführt und alle Validierungen umgangen.