Acum, hai să aruncăm o privire la începutul exercițiului.
Acum exercițiul este foarte asemănător cu cel reflectat de noi.
Acesta vă permite să injectați codul javascript în browser.
Codul este executat pe persoanele care vizitează pagina.
Singura diferență este în ceea ce vă arată că aveți senzația că vă aflați în țintă.
Deci, obiectivul trebuia să facă clic pe un U R L pentru ca exploatarea să ruleze sau pentru ca codul
să ruleze, iar accesul stocat va fi efectiv stocat într-o bază de date sau în pagină.
Deci, de fiecare dată când o persoană rulează acea pagină, ei vor vedea codul tău și codul tău va fi executat.
Deci vrei să interacționez cu orice utilizator sau să îi trimit ceva.
Prin urmare, acest lucru ar putea fi mult mai periculos decât un exercițiu reflectat.
Deci, haideți să aruncăm o privire la asta acum.
Am făcut clic pe magazinul de acces aici din stânga și aveți această pagină și această pagină
vă permite doar să adăugați un sistem de mesaje.
Așa că am să-mi spun numele ca pe un test pe care îl vom face mai
întâi și vă vom trimite un mesaj, de exemplu, și apoi voi semna cartea de oaspeți și veți vedea că au
adăugat un mesaj numit corp de mesaje.
Deci, dacă te duci să auziți la o altă mașină.
Deci, aceasta este o mașină diferită de un alt loc.
Și dacă mergem la The Exorcist sau putem vedea că există două intrări, astfel că intrările sunt
încărcate din baza de date și că ele conțin intrările din acea bază de date.
Deci, dacă am reușit să injectăm cod aici, atunci orice persoană care execută această pagină codul va
rula fără să trebuiască să-i trimiteți nimic.
Deci, să încercăm să injectăm lucruri aici.
Deci, în acest nume cu numele meu de a și voi încerca să-mi pun codul aici, așa că voi încerca să-l
injectez în mesaj.
O să-i spun un scenariu.
Am de gând să folosesc codul de testare exact același cod pe care l-am folosit în videoclipul precedent, doar un mesaj
care spune exercițiu.
Din nou un cod de bază foarte, dar acesta servește scopurilor acestui videoclip și vom spune că acesta
are acces și încearcă să semneze cartea de oaspeți.
Și după cum vedem acum, am făcut exercițiul aici, dar magia reală se întâmplă atunci când o persoană obișnuită.
Deci, haideți să mergem mai întâi acasă și să presupunem că acesta este doar site-ul Web normal.
Și oamenii sunt doar în și răsfoind-o și ceea ce vor merge la javascript codul de cărți de
oaspeți vor fi executate pe sistemul lor de pe site-ul respectiv.
Deci, codul merge de pe site-ul respectiv și va fi executat pentru fiecare
persoană care vizitează această pagină.
Din nou, ne-am arătat doar o dovadă a conceptului aici în videoclipurile viitoare va arăta cum să exploateze în continuare acest tip
de persoane vulnerabile.