OK, lass uns jetzt einen Blick auf die mittlere Sicherheitsstufe werfen und herausfinden, ob wir
diese dritte Cross-Site-Scripting-Fähigkeit nutzen können.
Nun, bevor Sie etwas tun, da diese Seite automatisch Code enthält, der jedes Mal ausgeführt wird, wenn
die Seite funktioniert.
Sie können die Datenbank einrichten und zurücksetzen.
Dies setzt im Grunde alles zurück.
Und wenn Sie zum Laden zurückkehren, bedeutet dies, dass nichts funktioniert, da alle Datensätze gelöscht werden.
Jetzt gehe ich auch zur Sicherheit, und ich werde die Sicherheit auf "Medium einreichen" setzen und
zu unserem Geschäft zurückkehren.
In der mittleren Sicherheitsstufe ist das Nachrichtentextfeld jetzt nicht injizierbar.
Und darüber sprechen wir im nächsten Video. Ich werde alles versuchen, den Namen einzuspritzen.
Wir werden also zuerst unseren Code ausprobieren, den wir immer verwenden, also ist es nicht der
normale Code, wenn einige Buchstaben groß geschrieben werden.
Und Sie können sehen, dass wir nicht viel in den Namen schreiben können, da er auf 10 Zeichen beschränkt ist.
Dies kann einfach durch einen Rechtsklick mit dem Element inspect übergeben werden, um den Code zu sehen.
Dann ändern wir die maximale Länge hier auf 100.
Dann können wir hier 100 Zeichen eingeben.
Also werde ich wieder einfach meinen Code einfügen und alles hier einfügen.
Das Gästebuch unterschrieben.
Nun, wie Sie sehen können, ist es uns gelungen, das zu umgehen.
Ich möchte Ihnen auch zeigen, wie Sie eine dieser Discovery-Payloads ausführen können, ohne ein Angebot zu verwenden.
Ein paar Vorteile mit diesem Filter verwenden also die Filterung einzelner Anführungszeichen oder sogar doppelter Anführungszeichen und würden diese
entfernen.
Sie können also versuchen, diese Funktion aus Holzkohle zu verwenden. Anstatt einen String hier genau so einzusetzen, wie wir es
in der Schule gemacht haben, als wir Hexe verwendet haben, werden wir den String
oder den String konvertieren Text zum Zeichencode.
Sie können dies also von Google aus tun, wenn Sie nur Google Kohlerechner verwenden.
Und ich werde diesen Link in die Beschreibung einfügen, wir werden die erste verwenden, und ich
werde nur sagen, dass ich diese x x x 2 nennen werde.
Also mischen wir uns nicht mit dem ersten und ich werde den Code bekommen.
Das ist also Code, den
wir kopieren werden.
Und wir werden es hier ersetzen.
Und dann machen wir weiter.
Das wird also normal sein.
Und ich habe auch gerade eines der Stücke hier klein gemacht, und ich habe eines davon so gemacht, dass wir
alle Filter umgehen können, wenn sie nach einem Skript suchen. Dann verwenden wir es, anstatt den Text
zu platzieren hier zwischen diesen beiden Klammern.
Wir sagen eigentlich eine Zeichenfolge aus dem Cheraw-Code.
Entschlüssle also diesen Zeichensatz und führe ihn dann als String aus.
Also lass uns gehen und das ausführen und sehen, ob es funktioniert.
Jetzt werden wir es wieder hinzufügen, wir müssen den Namen hier in 100 ändern.
Und dann werde ich es spritzen.
Gib hier alles rein.
Unterschreib es.
Dies ist die erste Übung der erste Eintrag und wie Sie unsere zweite sehen können.
Und es wurde ausgeführt und es ist uns gelungen, diesen zweiten Eintrag ohne Anführungszeichen in der
Nutzlast auszuführen.