Okay teraz spójrzmy na przykład ćwiczenia startowego.
Teraz ćwiczenie jest bardzo podobne do naszego odzwierciedlonego.
To pozwala wstrzykiwać kod javascript do przeglądarki.
Kod jest wykonywany na ludziach, którzy odwiedzają stronę.
Jedyną różnicą jest to, że w odbiciu masz poczucie, że jesteś na swoim celu.
Tak więc cel musiał kliknąć przycisk U R L, aby exploit mógł zostać uruchomiony lub aby kod
działał, a przechowywany dostęp do kodu będzie przechowywany w bazie danych lub na stronie.
Więc za każdym razem, gdy ktoś uruchomi tę stronę, zobaczy twój kod, a twój kod zostanie wykonany.
Więc chcesz, abym komunikował się z dowolnym użytkownikiem lub wysyłał mu cokolwiek.
Dlatego może to być znacznie bardziej niebezpieczne niż odzwierciedlone ćwiczenie.
Więc spójrzmy teraz na to.
Kliknąłem na magazyn dostępu tutaj po lewej stronie i masz tę stronę, a ta
strona pozwala ci tylko dodać system wiadomości.
Nazwałbym więc moje imię, ponieważ najpierw zrobimy normalny test, a
na przykład przekażemy Ci wiadomość, a potem podpiszę księgę gości i zobaczysz, że dodali
wiadomość o treści wiadomości.
Więc jeśli pójdziesz posłuchać innej maszyny.
To jest inna maszyna do innego miejsca.
I jeśli pójdziemy do Egzorcysty lub widzimy, że są dwa wpisy, więc wpisy
są ładowane z bazy danych i zawierają wpisy w tej bazie danych.
Jeśli więc uda nam się wprowadzić kod tutaj, to każda osoba, która uruchomi tę stronę, uruchomi
kod bez konieczności wysyłania tej osoby.
Więc spróbujmy tu wstrzyknąć.
Więc w tym z moim imieniem jako i będę próbować umieścić mój kod tutaj, więc zamierzam
spróbować wstrzyknąć wiadomość.
Mam zamiar nazwać to scenariuszem.
Zamierzam użyć dokładnie tego samego kodu testu kodu, który użyliśmy w poprzednim filmie, tylko komunikat
mówiący ćwiczenie.
Znowu bardzo podstawowy kod, ale służy do celów tego filmu, a my zamierzamy powiedzieć, że
to dostęp i spróbować podpisać księgę gości.
I jak widzimy teraz, mam tutaj ćwiczenie, ale prawdziwa magia ma miejsce, gdy normalna osoba.
Najpierw wróćmy do domu i załóżmy, że to zwykła strona internetowa.
A ludzie po prostu są w sieci i przeglądają ją, a co zamierzają przejść do księgi gości
Kod javascript zostanie wykonany na ich systemie z tej strony.
Tak więc kod pochodzi z tej strony internetowej i zostanie wykonany na
każdej osobie odwiedzającej tę stronę.
Znowu pokazano nam dowód na to, że w przyszłych filmach pokażemy, jak dalej wykorzystywać tego
typu luki.