Okay diamo un'occhiata all'esempio di esercizio iniziale.
Ora l'esercizio è molto simile a quello riflesso.
È che ti permette di inserire il codice javascript nel browser.
Il codice viene eseguito sulle persone che visitano la pagina.
L'unica differenza è che con il riflesso hai la sensazione di essere fuori dal tuo obiettivo.
Quindi l'obiettivo doveva effettivamente fare clic su un U R L per l'exploit da eseguire o per l'esecuzione del
codice e l'accesso memorizzato il codice verrà effettivamente memorizzato in un database o nella pagina.
Quindi ogni volta che qualcuno esegue quella pagina vedrà il tuo codice e il tuo codice verrà eseguito.
Quindi vuoi che io interagisca con qualsiasi utente o invii loro qualcosa.
Quindi questo potrebbe essere molto più pericoloso di un esercizio riflesso.
Quindi diamo un'occhiata a questo ora.
Ho fatto clic sul negozio di accesso qui a sinistra e tu hai questa pagina e questa pagina
ti permette solo di aggiungere un sistema di messaggi.
Quindi chiamerò il mio nome come un test preliminare e faremo un
messaggio per esempio e poi firmerò il guestbook e vedrai che hanno aggiunto un messaggio
chiamato corpo del messaggio.
Quindi se vai a sentire su un'altra macchina.
Quindi questa è una macchina diversa per un posto diverso.
E se andiamo a The Exorcist o possiamo vedere che ci sono due voci così
le voci vengono caricate dal database e che contengono le voci in quel database.
Quindi, se siamo riusciti a inserire il codice qui, chiunque esegua questa pagina eseguirà il codice
senza nemmeno dover inviare quella persona.
Quindi proviamo a iniettare cose qui.
Quindi in questo con il mio nome come e ho intenzione di provare a inserire il mio codice qui, quindi cercherò di
inserire il messaggio.
Lo chiamerò script.
Userò esattamente lo stesso codice di test del codice che abbiamo usato nel video precedente, solo un messaggio
che dice esercizio.
Ancora un codice molto semplice ma serve agli scopi di questo video e stiamo per dire che è
l'accesso e prova a firmare il libro degli ospiti.
E come possiamo vedere ora ho ottenuto l'esercizio qui ma la vera magia accade quando una persona normale.
Quindi andiamo prima a casa e supponiamo che questo sia solo il normale sito Web.
E le persone si limitano a visitarle e cosa faranno sul guestbook. Il codice javascript
verrà eseguito sul loro sistema da quel sito.
Quindi il codice sta andando da quel sito Web e verrà eseguito su ogni
persona che visita questa pagina.
Ancora una volta ci viene mostrata una dimostrazione del concetto qui nei video futuri mostreremo come sfruttare ulteriormente questo tipo
di vulnerabile.