ตอนนี้เรามาดูระดับความปลอดภัยระดับกลางและดูว่าเราสามารถฉีดรหัสของเราและเรียกใช้รหัสจาวาสคริปต์ในเว็บไซต์เป้าหมาย
นี่คือการหาประโยชน์ที่เราใช้หรือปริมาณที่เราใช้
ดังนั้นฉันต้องการก่อนที่จะเปลี่ยนระดับความปลอดภัยเป็นสื่อฉันต้องการแสดงให้คุณเห็นว่าเว็บไซต์มีลักษณะเป็นอย่างไร
ดังนั้นถ้าเราคลิกขวาที่นี่ในสวัสดีและไปตรวจสอบองค์ประกอบที่จะทำให้ใหญ่ขึ้นเล็กน้อย
ดังนั้นนี่จะแสดงรหัสแหล่งที่มาสำหรับส่วนเฉพาะของหน้าเว็บนี้ให้กับเรา
ดังนั้นถ้าเราดูมันคุณจะเห็นว่าเรามีสวัสดีซึ่งกำลังถูกเขียนโดยอัตโนมัติโดยโปรแกรมและต่ำสุดตามด้วยทริปนี้ที่เราฉีด
ดังนั้นมันจึงถูกฉีดแบบเดียวกับที่เราเขียนไว้ในกล่องข้อความซึ่งเป็นสาเหตุที่ถูกเรียกใช้งานบนหน้าเว็บเพื่อให้เราสามารถเห็นการแจ้งเตือนการเข้าถึงสคริปต์จากนั้นแท็กสคริปต์จะปิดลง หน้า.
ตอนนี้ไปข้างหน้าและเพิ่มระดับความปลอดภัยและเราจะตั้งให้เป็นสื่อ
ตอนนี้เรากำลังจะกลับไปที่ The Exorcist
และฉันจะวางช่องโหว่แบบเดียวกันกับที่เราใช้และกดส่งแล้วคุณจะเห็นว่ามันไม่ทำงาน
สังเกตเห็นในระดับความปลอดภัยที่เราเห็นใน Halo และทุกอย่างที่นี่เหมือนว่าเราไม่เห็นอะไรเลย
ตอนนี้เราเห็นการเข้าถึงการแจ้งเตือน
ดังนั้นไม่ใช่ป๊อปอัพที่ไม่ปรากฏขึ้น
และถ้าเราดูรหัสคุณจะเห็นว่าจุดเริ่มต้นของแท็กและจุดสิ้นสุดของแท็กไม่ถูกฉีดเข้าไปที่นี่ดังนั้นมันจะถูกกรองอย่างใดเพราะสิ่งที่เราเห็นที่นี่เป็นเพียงแค่สวัสดี .
นั่นเป็นสาเหตุที่รหัสไม่ถูกเรียกใช้งานเพราะไม่ได้อยู่ในแท็กสคริปต์
สิ่งนี้บอกเราว่าพวกมันอาจถูกใช้ในตัวกรองบางประเภท
ลบสคริปต์ออกจากที่นี่
ขณะนี้มีหลายวิธีที่คุณสามารถข้ามตัวกรองและการป้องกันประเภทอื่นจากการเข้าถึง
ทรัพยากรที่ดีที่สุดคือแผ่นโกงที่ทำโดย Austin ซึ่งสามารถดูได้จากลิงค์ต่อไปนี้
ฉันจะเพิ่มลิงค์นี้ในแหล่งข้อมูลของวิดีโอนี้
สำหรับตอนนี้ฉันจะไม่ใช้อะไรที่กล่าวถึงในลิงค์
เรากำลังจะทำสิ่งที่ง่ายจริงๆเพราะฉันคิดว่าสิ่งที่พวกเขากำลังทำอยู่คือพวกเขากำลังมองหาโลกนี้และพวกเขากำลังลบมันออกจากอินพุตดังนั้นเราจึงสามารถใช้ประโยชน์จากการโจมตีแบบเดียวกันได้ที่นี่
แต่เราจะทำในสิ่งที่เราเคยทำกับการฉีดสกิลและใช้อักษรตัวใหญ่บางตัวเพื่อเราจะได้สคริปท์เป็นตัวพิมพ์ใหญ่แบบนี้ อาจเป็นเพียงที่อยู่ในที่นี่
จากนั้นฉันจะอัดฉีดสิ่งนี้และหน้าและอย่างที่คุณเห็นตอนนี้งานนี้อนุญาตให้เราข้ามตัวกรองที่ใช้บนเว็บไซต์
ตอนนี้เป็นวิธีที่ง่ายมากในการใช้ประโยชน์จากมัน
ตอนนี้ไซต์ค่อนข้างจะตรวจสอบคำพูดและเปิดใช้งานการเสนอราคาเวทย์มนตร์ซึ่งโดยทั่วไปจะลบเครื่องหมายคำพูดออกจากสตริงที่คุณไม่ต้องการจากข้อความที่คุณไม่ได้ใส่และในวิดีโอในอนาคตเราจะเห็นว่าเราข้ามมันอย่างไร
ที่รวมอยู่ในแผ่นโกงด้วย
ฉันจะเพิ่มคำอธิบายและทรัพยากร
นอกจากนี้ยังมีช่องโหว่หรือ payloads ที่รวมอยู่ในแผ่นโกงด้วย
ตัวอย่างเช่นคุณสามารถฉีดสิ่งต่าง ๆ เป็น 8
คุณสามารถฉีดสิ่งต่าง ๆ รวมทั้งเหตุการณ์ของงานเป็นเหตุการณ์จาวาสคริปต์
ดังนั้นเมื่อเมาส์ผ่านโปรโตคอลนั้นจะถูกดำเนินการ
และคุณยังสามารถฉีดคุณสามารถให้ภาพและให้รหัสต้นฉบับที่ไม่ถูกต้องและเรียกใช้สคริปต์เมื่อมีข้อผิดพลาด
เนื่องจากคุณได้รับซอร์สโค้ดหรือแหล่งที่ไม่ถูกต้องคุณจะได้รับรูปภาพ
รหัสจะทำงานต่อไป
ลองดูที่อันนี้
ดังนั้นอีกครั้งเราจะวางมันลงตรงนี้
และอย่างที่คุณเห็นรหัสจะทำงานที่นี่และทั้งหมดนี้รวมอยู่ในสูตรโกง
และคุณสามารถไปข้างหน้าและที่นั่นฉันจะเพิ่มและทรัพยากรที่คุณได้รับดูและลองพวกเขาทั้งหมด