Porozmawiajmy więc o tym, jak odkryć tego rodzaju luki.
Bardzo podobne do zastrzyków umiejętności.
Aby to zrobić, przeglądaj cel i spróbuj wstrzyknąć dowolne pole tekstowe lub dowolny L, który
wygląda podobnie.
Tak więc za każdym razem, gdy widzisz parametry Elouise'a, spróbuj wprowadzić te parametry lub spróbuj wstrzyknąć
do
pól tekstowych, więc przyjrzyjmy się odbitemu jako przykładowi ćwiczeń.
Są to nietrwałe, nietrwałe luki w zabezpieczeniach, w których musisz wysłać kod do
celu.
A gdy cel uruchomi kod, zostanie wykonany na ich komputerze.
Zajrzyjmy więc na naszą stronę DVD i po prostu się zaloguję, a
następnie mamy przykład odzwierciedlonego dostępu, ponieważ teraz widzisz tutaj swoje imię i nazwisko dla
tego pola tekstowego i po prostu się przywitają.
To oczywiście tylko przykład.
Ale pomysł polega na tym, że możesz wstrzyknąć do pól tekstowych.
Również, jeśli musisz spojrzeć na R L, zobaczysz, że jest to GED, abyś mógł wstrzyknąć
również swój L.
Więc pozwól mi zacząć
od padu i spróbujmy wstrzyknąć kod Exocet i zobaczmy, czy kod zostanie wykonany, czy kod javascript
przykro.
To, co zamierzam użyć, to bardzo prosty skrypt.
Używamy skryptu i tagu skryptu slajdu.
Teraz istnieje wiele sposobów na odkrywanie tego rodzaju luk.
I wiele sposobów na ominięcie filtrów.
Ale na razie właśnie patrzymy na podstawowy przypadek, w którym możemy wstrzyknąć normalny scenariusz i mam
zamiar powiedzieć Alert, który jest tylko funkcją, by dać ostrzeżenie, aby dać pole tekstowe.
I zamierzam powiedzieć
"tak".
Klikaj na przycisk submit, a zobaczymy, czy ten kod zostanie wykonany.
A jak widzisz, to faktycznie wykonuje mój kod, więc zamiast się przywitać, mówi
"cześć", a mój kod został wykonany i wyprodukowało to ćwiczenie, więc możemy zrobić to samo, jeśli spojrzysz pod
swoją sową.
W rzeczywistości to już zrobiliśmy dla nas.
Ale jeśli spojrzymy na R L tutaj, to będzie trochę większe.
Oni widzimy, że nazwa była oczywiście wszystkie te postacie są po prostu oczywistymi jaskiniowymi
postaciami Hasyim.
A teraz, jeśli wyślesz to do każdego, kto kiedykolwiek zobaczy, że ty lub inny kod zostanie wykonany na
ich komputerze.
I to powie "Ćwiczenie". Pozwól, że ci pokażę.
Możesz również wstrzyknąć to do oka.
Po prostu chcę ci pokazać cały pomysł.
Mamy dostęp do skryptu, a po naciśnięciu
Enter kod zostanie wykonany.
Tak jak powiedziałem, możemy to skopiować i wysłać do pewnej osoby, a gdy uruchomią ten kod, ten kod
zostanie wykonany na ich komputerze.