Okay, schauen wir uns das Beispiel für das Start-Training an.
Nun ist die Übung unserer reflektierten sehr ähnlich.
Es erlaubt Ihnen, Javascript-Code in den Browser einzufügen.
Der Code wird für die Personen ausgeführt, die die Seite besuchen.
Der einzige Unterschied besteht darin, dass Sie das Gefühl haben, dass Sie Ihr Ziel erreichen.
Das Ziel musste also tatsächlich auf eine U R L klicken, damit der Exploit ausgeführt werden kann oder der Code
ausgeführt werden muss. Der gespeicherte Zugriff wird in einer Datenbank oder in der Seite gespeichert.
Jedes Mal, wenn eine Person diese Seite ausführt, wird Ihr Code angezeigt, und Ihr Code wird ausgeführt.
Sie möchten also mit allen Benutzern interagieren oder ihnen etwas senden.
Daher könnte dies viel gefährlicher sein als eine reflektierte Übung.
Schauen wir uns das jetzt an.
Ich habe auf den Access Store hier links geklickt, und Sie haben diese Seite, und auf
dieser Seite können Sie einfach ein Nachrichtensystem hinzufügen.
Also nenne ich meinen Namen als einen. Wir werden zuerst einen normalen Test durchführen und
beispielsweise eine Nachricht an Sie senden und dann werde ich das Gästebuch unterschreiben, und Sie können das sehen Sie
fügten eine Nachricht namens Nachrichtentext hinzu.
Wenn Sie also zu einer anderen Maschine gehen.
Das ist also eine andere Maschine als an einem anderen Ort.
Wenn wir zu The Exorcist gehen oder wir erkennen, dass es zwei Einträge gibt, werden
die Einträge aus der Datenbank geladen und sie enthalten die Einträge in dieser Datenbank.
Wenn wir es also geschafft haben, Code hier einzufügen, dann wird jeder, der diese Seite ausführt, den Code ausführen, ohne
dass er dieser Person auch etwas senden muss.
Also lass uns versuchen, hier Zeug zu spritzen.
Also hier mit meinem Namen als und ich werde versuchen, meinen Code hier einzufügen, also werde ich versuchen,
die Nachricht einzugeben.
Ich werde es ein Skript nennen.
Ich werde genau den gleichen Code-Testcode verwenden, den wir im vorherigen Video verwendet haben, nur eine Nachricht, in der die
Übung angegeben ist.
Nochmal sehr einfacher Code, aber er dient den Zwecken dieses Videos und wir werden sagen, dass er
Zugriff hat und versuchen, das Gästebuch zu signieren.
Und wie wir jetzt sehen können, habe ich die Übung hier, aber die eigentliche Magie passiert, wenn eine normale Person.
Gehen wir also zuerst nach Hause und nehmen wir an, dies ist nur die normale Website.
Und die Leute sind gerade dabei und surfen darin und was sie ins Gästebuch gehen wird, wird
Javascript-Code auf ihrem System von dieser Website aus ausgeführt.
Der Code geht also von dieser Website und wird von jeder Person
ausgeführt, die diese Seite besucht.
Wieder einmal wird uns hier in Zukunft ein Proof of Concept gezeigt. Videos zeigen, wie diese Art von Schwachstellen weiter
genutzt werden kann.