Bien, ahora sigamos adelante, echemos un vistazo al nivel de seguridad medio y veamos si podemos explotar esta tercera capacidad
de secuencias de comandos entre sitios.
Ahora, antes de hacer nada porque esta página contendrá automáticamente el código que se ejecutará cada vez que
la página funcione.
Puede ir a configurar y restablecer la base de datos.
Esto básicamente restablecerá restablecer todo.
Y cuando vuelves a la tienda, dice que nada va a funcionar porque se eliminarán todos los registros.
Ahora también voy a ir a la seguridad y voy a configurar la seguridad en medio enviado y
volver a nuestra tienda.
Ahora, en el nivel de seguridad medio, el cuadro de texto del mensaje no es inyectable.
Y hablaremos de eso en el próximo video, por ahora soy todo lo que voy a tratar de inyectar en el nombre.
Entonces, antes que nada, vamos a probar nuestro código que siempre usamos, por lo que no es
el código normal con mayúsculas en algunas de las letras.
Y puede ver que realmente no podemos escribir mucho en el nombre porque está limitado a 10 caracteres.
Esto se puede pasar fácilmente haciendo clic derecho en el elemento de inspección para ver el código y luego
vamos a cambiar la longitud máxima aquí a 100.
Entonces podemos poner 100 caracteres aquí.
Así que nuevamente voy a pegar mi código y voy a poner cualquier cosa aquí.
Firmado el libro de visitas.
Ahora, como pueden ver, logramos evitarlo así como así.
Lo que también quiero mostrarle es cómo ejecutar una de estas cargas útiles de descubrimiento sin utilizar una cotización.
Por lo tanto, algunas ventajas con ese uso filtran comillas simples o incluso comillas dobles y las
eliminarían.
Entonces, lo que podría hacer es intentar usar esta función de cepa de carbón y en lugar de poner una cadena aquí exactamente de
la misma manera que lo hicimos con la escuela cuando usamos Hexe y en este caso vamos
a convertir la cadena o el texto al código char.
Entonces puedes hacer eso desde Google si solo usas la calculadora de carbón de Google.
Y voy a poner este enlace en la descripción, vamos a usar el primero y solo voy
a poner que voy a llamar a este x x x 2.
Así que no nos mezclamos con el primero y voy a obtener su código.
Entonces este es el código
que vamos a copiar.
Y vamos a sustituirlo aquí.
Y luego continuaremos.
Entonces esto va a ser normal.
Y también solo hice una de las piezas pequeñas aquí e hice una de estas pequeñas solo para que podamos
evitar cualquier filtro si están buscando un script y luego lo usaremos en lugar de poner el
texto aquí entre estos dos soportes.
En realidad estamos diciendo una cadena del código Cheraw.
Básicamente, decodifica este código char y luego ejecútalo como una cadena.
Así que sigamos adelante y ejecutemos esto para ver si funciona.
Ahora vamos a agregarlo nuevamente, tendremos que cambiar el nombre a 100 aquí.
Y luego lo voy a inyectar.
Pon cualquier cosa aquí.
Firmarlo.
Este es el primer ejercicio de la primera entrada y como puede ver nuestro segundo.
Y se ejecutó y logramos ejecutar esta segunda entrada sin poner comillas en la carga
útil.