Jadi mari kita bicara tentang cara menemukan kerentanan semacam ini.
Sangat mirip dengan suntikan keterampilan.
Cara untuk melakukan ini adalah Anda menelusuri target Anda dan mencoba menyuntikkan kotak teks atau L Anda yang terlihat
mirip dengan ini.
Jadi setiap kali Anda melihat parameter Elouise Anda mencoba menyuntikkan parameter ini atau mencoba menyuntikkan ke dalam
kotak
teks jadi mari kita lihat tercermin sebagai contoh latihan
Jadi ini adalah kerentanan non-persisten non-persisten di mana Anda harus benar-benar mengirim kode ke
target.
Dan begitu target menjalankan kode itu akan dieksekusi di mesin mereka.
Jadi mari kita lihat di situs web DVD kami dan saya hanya akan masuk dan kemudian kita
akan memiliki contoh akses yang direfleksi sehingga seperti yang Anda lihat sekarang Anda dapat meletakkan nama Anda
di sini untuk kotak teks ini itu hanya akan menyapa.
Sekarang ini jelas hanya sebuah contoh.
Tapi idenya adalah Anda bisa menyuntikkan ke dalam kotak teks.
Juga jika Anda harus melihat pada RL di sini Anda akan melihat bahwa itu adalah GED sehingga Anda dapat menyuntikkan
ke L Anda juga.
Jadi biarkan saya mulai dari
pad dan mari kita coba menyuntikkan kode Exocets pada ini dan melihat apakah kode tersebut akan dieksekusi atau kode
javascript maaf
Jadi yang akan saya gunakan adalah skrip yang sangat sederhana.
Jadi kami menggunakan skrip dan tag skrip slide.
Sekarang ada banyak cara untuk menemukan kerentanan semacam ini.
Dan banyak cara untuk mem-bypass filter.
Tetapi untuk saat ini kami hanya melihat pada kasus dasar di mana kami dapat menyuntikkan skrip normal
dan saya akan mengatakan Peringatan yang hanya berfungsi untuk memberi peringatan untuk memberikan kotak teks.
Dan saya akan
mengatakan ya.
Jadi saya akan klik kirim dan kita akan melihat apakah kode ini akan dieksekusi.
Dan seperti yang Anda lihat sekarang ini sebenarnya mengeksekusi kode saya jadi alih-alih mengatakan halo di sini ia
mengatakan halo dan kode saya telah dieksekusi dan menghasilkan latihan ini sehingga kami dapat melakukan hal yang sama di sini jika Anda melihat di
bawah burung hantu.
Sebenarnya sudah melakukannya untuk kita.
Tetapi jika kita melihat RL di sini, itu hanya akan menjadi sedikit lebih besar.
Mereka Kita dapat melihat bahwa nama telah jelas semua karakter ini hanya karakter gua Hasyim
yang jelas.
Dan sekarang jika Anda mengirim ini, Anda kepada siapa saja yang pernah melihat Anda atau kode apa yang akan dieksekusi di
mesin mereka.
Dan itu akan mengatakan latihan Jadi, saya tunjukkan di sini.
Anda juga bisa menyuntikkan ini ke mata Anda.
Saya hanya ingin menunjukkan kepada Anda seluruh gagasan tentang itu.
Jadi kami memiliki akses skrip skrip dan jika saya
menekan masukkan kode akan dieksekusi.
Jadi seperti yang saya katakan kita dapat menyalin ini dan mengirimkannya ke orang tertentu dan setelah mereka menjalankan kode itu kode
ini akan dieksekusi di mesin mereka.