Lassen Sie uns nun einen Blick auf die mittlere Sicherheitsstufe werfen und sehen, ob wir unseren Code einfügen und
Javascript-Code auf der Ziel-Website ausführen können.
Dies ist also der Exploit, den wir verwenden, oder die Nutzlast, die wir verwenden.
Ich möchte also nur, bevor ich die Sicherheitsstufe auf Mittel umstelle, Ihnen zeigen, wie die Website aussieht.
Wenn wir also einfach mit der rechten Maustaste auf das Hallo klicken und das Element inspizieren, wird es etwas
größer.
Dies zeigt uns also tatsächlich den Quellcode für diesen bestimmten Teil der Webseite.
Wenn wir es uns ansehen, werden Sie sehen, dass wir Hallo haben, das automatisch vom Programm geschrieben wird,
und der niedrigsten folgt dieser Reise, die wir injiziert haben.
Es wird also genau so injiziert, wie wir es in das Textfeld schreiben. Aus diesem Grund wurde es
auf der Webseite ausgeführt, sodass wir den Skriptalarmzugriff sehen und dann die Skript-Tags schließen können, wodurch das
Skript auf der Datenbank ausgeführt wird Seite.
Lassen Sie uns jetzt das
Sicherheitsniveau erhöhen und wir werden es auf mittel setzen.
Jetzt gehen wir zurück zu The Exorcist und ich werde den gleichen Exploit einfügen, den wir verwenden,
und "Submit" drücken, und Sie werden sehen, dass es nicht funktionieren wird.
Beachten Sie auch die Sicherheitsstufe, die wir nur in Halo sehen und alles hier ist, als hätten wir
nichts gesehen.
Jetzt sehen wir den Zugriff auf Alarme.
Es ist also nicht so, dass das Popup nicht angezeigt wird.
Und wenn wir uns den Code anschauen, werden Sie sehen, dass der Anfang des Tags und das Ende des
Tags hier nicht injiziert werden. Es wird also irgendwie gefiltert, da wir hier nur Hallo sehen und
dann die Alarmübung sehen .
Aus diesem Grund wird der Code nicht ausgeführt, da er nicht in die Skript-Tags eingefügt wird.
Dies sagt uns, dass sie wahrscheinlich in einer Art Filter verwendet werden.
Entfernen Sie das Skript von hier.
Jetzt gibt es so viele Möglichkeiten, dass Sie Filter und andere Arten des Zugriffsschutzes umgehen können.
Die beste Ressource ist ein Spickzettel von Austin, der auf dem folgenden Link zu finden ist.
Ich werde diesen Link in die Ressourcen dieses Videos einfügen.
Im Moment werde ich eigentlich nichts verwenden, was im Link erwähnt wird.
Wir werden einfach etwas tun, das wirklich einfach ist, weil ich denke, dass sie nur
nach dieser Welt suchen und sie aus den Eingaben entfernen, sodass wir genau hier den gleichen Exploit einsetzen
können.
Stattdessen werden wir einfach das tun, was wir mit der Skill-Injektion gemacht
haben, und einfach einige der Buchstaben groß schreiben Wahrscheinlich ist
nur das hier drin.
Und dann füge ich diese und die Seite ein
und wie Sie jetzt sehen, funktioniert dies, was es uns ermöglicht, den auf dieser Website verwendeten Filter zu umgehen.
Dies ist eine wirklich einfache Möglichkeit, sie auszunutzen.
Einige Websites prüfen nun tatsächlich nach Anführungszeichen und aktivieren magische Anführungszeichen, die im Grunde die Anführungszeichen aus der Zeichenfolge entfernen, die
Sie nicht aus dem Text wünschen, den Sie nicht einfügen. In einem zukünftigen Video werden
wir sehen, wie wir das umgehen.
Das ist auch im Spickzettel enthalten.
Ich werde die Beschreibung und die Ressourcen hinzufügen.
Es gibt auch eine Reihe von schönen Exploits oder Nutzlasten, die ebenfalls im Spickzettel enthalten sind.
Zum Beispiel können Sie Sachen als 8 injizieren.
Sie können sowohl Sachen als auch ein Ereignis eines Jobs als Javascript-Ereignis einspritzen.
Wenn also die Maus übergeht, wird dieses bestimmte Protokoll ausgeführt.
Sie können auch injiziert werden, Sie können ein Bild angeben und einen falschen Quellcode angeben und das Skript ausführen, wenn
ein Fehler auftritt.
Da Sie einen falschen Quellcode oder eine falsche Quelle erhalten haben, sind Sie für das Bild zuständig.
Der Code wird trotzdem funktionieren.
Lass uns einen Blick darauf werfen.
Also fügen wir es einfach wieder hier ein.
Und wie Sie sehen, funktioniert der Code hier und das alles ist im Spickzettel enthalten.
Und du kannst weitermachen und da werde ich es hinzufügen, und die Ressourcen, die du bekommst, kannst du ihnen ansehen und
sie alle ausprobieren.