Lassen Sie uns darüber sprechen, wie Sie diese Art von Schwachstellen erkennen können.
Sehr ähnlich zu Skill-Injektionen.
Sie können dies tun, indem Sie Ihr Ziel durchsuchen und versuchen, ein beliebiges Textfeld oder ein beliebiges L einzufügen,
das diesem ähnelt.
Wenn Sie also Ihre Elouise-Parameter sehen, versuchen Sie, diese Parameter einzufügen, oder versuchen Sie, in Textfelder
einzufügen.
Schauen wir uns also die Übung als Beispiel an.
Dies sind also die nicht persistenten, nicht-standfesten Schwachstellen, bei denen Sie den Code tatsächlich an das Ziel senden
müssen.
Sobald das Ziel den Code ausführt, wird es auf seinem Computer ausgeführt.
Werfen wir also einen Blick auf unsere DVD-Website. Ich melde mich einfach an und dann
haben wir ein Beispiel für einen reflektierten Zugriff. Wie Sie jetzt sehen, können Sie hier Ihren
Namen für dieses Textfeld und es wird nur hallo sagen.
Nun ist dies offensichtlich nur ein Beispiel.
Aber die Idee ist, Sie können in Textfelder einfügen.
Auch wenn Sie sich den R L hier ansehen müssen, werden Sie feststellen, dass es sich um einen GED handelt, mit dem Sie auch
in Ihr L injizieren können.
Lassen Sie mich am Pad
beginnen und versuchen Sie, Exocets-Code in dieses Programm zu injizieren und zu sehen, ob der Code ausgeführt wird oder
Javascript-Code, sorry.
Ich werde also ein sehr einfaches Skript verwenden.
Wir verwenden also ein Skript und ein Dia-Skript-Tag.
Nun gibt es viele Möglichkeiten, solche Schwachstellen zu entdecken.
Und viele Möglichkeiten, Filter zu umgehen.
Im Moment schauen wir uns aber nur den grundlegenden Fall an, in den wir ein normales Skript
einfügen können. Ich sage Alert, was nur eine Funktion ist, mit der ein Textfeld angezeigt wird.
Und ich werde
ja sagen.
Also klicke ich auf Submit und wir werden sehen, ob dieser Code ausgeführt wird.
Und wie Sie jetzt sehen, führt es eigentlich meinen Code aus. Statt Hallo zu sagen, sagt es
Hallo, und mein Code wurde ausgeführt und es hat diese Übung erzeugt, so dass wir dasselbe hier tun können, wenn Sie unter Ihre
Eule schauen.
Es hat es eigentlich schon für uns getan.
Aber wenn wir uns den R L hier anschauen, wird es nur ein bisschen größer sein.
Sie sind Wir können sehen, dass der Name offensichtlich war, dass alle diese Charaktere nur Hasyim-offensichtliche
Höhlencharaktere sind.
Und jetzt, wenn Sie dies senden, werden Sie an jeden weitergeleitet, der Sie oder Ihren Code sieht, der auf Ihrem Computer
ausgeführt wird.
Und es wird Übung sagen Also lass mich es dir zeigen.
Sie können dies auch in Ihr Auge spritzen.
Ich möchte Ihnen nur die ganze Idee davon zeigen.
Wir haben also Skriptzugriff und wenn ich die Eingabetaste
drücke, wird der Code ausgeführt.
Wie gesagt, wir können diesen Code kopieren und an eine bestimmte Person senden. Sobald dieser Code ausgeführt wird, wird dieser
Code auf seinem Computer ausgeführt.