Bien, ahora echemos un vistazo al ejemplo de inicio del ejercicio.
Ahora el ejercicio es muy similar al nuestro reflejado.
Es le permite inyectar código javascript en el navegador.
El código se ejecuta en las personas que visitan la página.
La única diferencia es que con lo reflejado tienes la sensación de que estás fuera de tu objetivo.
Por lo tanto, el objetivo tenía que hacer clic en un U R L para que se ejecutara el exploit o para que se ejecutara
el código y el acceso almacenado el código se almacenará en una base de datos o en la página.
Entonces, cada vez que una persona ejecute esa página, verá su código y se ejecutará su código.
Entonces, quieres que interactúe con cualquier usuario o les envíe cualquier cosa.
Por lo tanto, esto podría ser mucho más peligroso que un ejercicio reflejado.
Así que echemos un vistazo a esto ahora.
Hice clic en la tienda de acceso aquí a la izquierda y tiene esta página y esta
página solo le permite agregar un sistema de mensajes.
Así que voy a llamar mi nombre, ya que solo vamos a hacer una prueba normal
primero y le enviaremos un mensaje, por ejemplo, y luego voy a firmar el libro de visitas y puede ver que
agregaron un mensaje llamado cuerpo del mensaje.
Entonces si vas a escuchar a otra máquina.
Entonces esta es una máquina diferente a un lugar diferente.
Y si vamos a The Exorcist o podemos ver que hay dos entradas, entonces las entradas se están
cargando desde la base de datos y que contienen las entradas en esa base de datos.
Entonces, si logramos inyectar código aquí, cualquier persona que ejecute esta página lo ejecutará sin tener
que enviarle nada a esa persona.
Así que intentemos inyectar cosas aquí.
Así que en esto con mi nombre como a y voy a tratar de poner mi código aquí, así que voy a intentar
inyectar en el mensaje.
Voy a llamarlo un guión.
Voy a usar exactamente el mismo código de prueba de código que usamos en el video anterior, solo un mensaje
que dice ejercicio.
Nuevamente, el código es muy básico, pero sirve para los propósitos de este video y vamos a decir que
es acceso e intentaremos firmar el libro de visitas.
Y como podemos ver ahora, obtuve el ejercicio aquí, pero la verdadera magia ocurre cuando una persona normal.
Entonces, primero vayamos a casa y asumamos que este es solo el sitio web normal.
Y las personas simplemente están entrando y navegando y lo que van a ir al código de JavaScript del libro
de visitas se ejecutará en su sistema desde ese sitio web.
Entonces, el código va desde ese sitio web y se ejecutará en cada
persona que visite esta página.
Una vez más, solo se nos muestra una prueba de concepto aquí en futuros videos que mostrará cómo explotar aún más este
tipo de vulnerabilidad.