ANTICHAT — форум по информационной безопасности, OSINT и технологиям
ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию.
Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club,
и теперь снова доступен на новом адресе —
forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
 |
23.10.2015, 15:24
|
|
Постоянный
Регистрация: 17.12.2008
Сообщений: 353
Провел на форуме:
919131
Репутация:
74
|
|
Допустим есть сайт А с активкой и пользователь, который пасется на этом сайте, при этом он пасется на сайте Б, где уязвимостей нет (по крайней мере, найти их не удалось). Нужно, как вы уже догадались, получить логин/пароль пользователя на сайте Б (или, в общем случае, выполнить какие-то другие действия, которые вполне можно выполнить с помощью внедрения JS). При этом нет гарантии, что юзер зайдет на сайт Б одновременно с А и даже что это случится достаточно быстро (в рамках одного сеанса).
Вопрос в следующем: можно ли как-то "остаться" в браузере у клиента и "следить" там за ним? Верится в это с трудом, но когда-то я слышал о подобном. Скорее всего, это обычный бред или относится к каким-то древним браузерам (у клиента софт вполне актуальный, во всяком случае, под него не имеется актуальных сплойтов в паблике).
|
|
|
23.10.2015, 16:43
|
|
Banned
Регистрация: 21.11.2007
Сообщений: 181
Провел на форуме:
1066435
Репутация:
1013
|
|
Сообщение от fl00der
↑
Допустим есть сайт А с активкой и пользователь, который пасется на этом сайте, при этом он пасется на сайте Б, где уязвимостей нет (по крайней мере, найти их не удалось). Нужно, как вы уже догадались, получить логин/пароль пользователя на сайте Б (или, в общем случае, выполнить какие-то другие действия, которые вполне можно выполнить с помощью внедрения JS). При этом нет гарантии, что юзер зайдет на сайт Б одновременно с А и даже что это случится достаточно быстро (в рамках одного сеанса).
Вопрос в следующем: можно ли как-то "остаться" в браузере у клиента и "следить" там за ним? Верится в это с трудом, но когда-то я слышал о подобном. Скорее всего, это обычный бред или относится к каким-то древним браузерам (у клиента софт вполне актуальный, во всяком случае, под него не имеется актуальных сплойтов в паблике).
можно следить в контексте сайта А. также, если есть вероятность, что пароли и логины одинаковые, можно нарисовать форму авторизации
|
|
|
|
23.10.2015, 19:30
|
|
Постоянный
Регистрация: 17.12.2008
Сообщений: 353
Провел на форуме:
919131
Репутация:
74
|
|
Сообщение от yarbabin
↑
можно следить в контексте сайта А. также, если есть вероятность, что пароли и логины одинаковые, можно нарисовать форму авторизации
А как можно следить в контексте сайта А?
Хотя бы в какую сторону копать?
|
|
|
|
23.10.2015, 20:13
|
|
Познающий
Регистрация: 26.09.2015
Сообщений: 56
Провел на форуме:
11344
Репутация:
5
|
|
Сообщение от fl00der
↑
А как можно следить в контексте сайта А?
Хотя бы в какую сторону копать?
Beef?
|
|
|
|
23.10.2015, 20:22
|
|
Banned
Регистрация: 21.11.2007
Сообщений: 181
Провел на форуме:
1066435
Репутация:
1013
|
|
да, beef
|
|
|
|
24.10.2015, 01:06
|
|
Постоянный
Регистрация: 17.12.2008
Сообщений: 353
Провел на форуме:
919131
Репутация:
74
|
|
А что оно сделает?
Как-то глядя на ту, что написано сее на Руби, большие сомнения, что это заведется.
Может лучше подскажете общий принцип, как организовать подобное?
|
|
|
|
24.10.2015, 01:16
|
|
Постоянный
Регистрация: 16.10.2011
Сообщений: 326
Провел на форуме:
103014
Репутация:
76
|
|
Сообщение от fl00der
↑
Допустим есть сайт А с активкой и пользователь, который пасется на этом сайте, при этом он пасется на сайте Б, где уязвимостей нет (по крайней мере, найти их не удалось). Нужно, как вы уже догадались, получить логин/пароль пользователя на сайте Б
Same Origin Policy же, не?
|
|
|
|
24.10.2015, 06:55
|
|
Участник форума
Регистрация: 22.07.2011
Сообщений: 229
Провел на форуме:
55143
Репутация:
0
|
|
Вижу только замену ссылок на сайте А ведущие на сайт Б(фейк), плюс название домена фейка сделать одинаковое(как у сайта Б). По незнанке будет вбивать домен и попадёт снова на фейк.
|
|
|
|
24.10.2015, 08:20
|
|
Познающий
Регистрация: 26.09.2015
Сообщений: 56
Провел на форуме:
11344
Репутация:
5
|
|
Сообщение от fl00der
↑
А что оно сделает?
Как-то глядя на ту, что написано сее на Руби, большие сомнения, что это заведется.
Может лучше подскажете общий принцип, как организовать подобное?
В контексте конкретного сайта биф отлично заводится. Его проще поставить и "пощупать руками", чем объяснять что он может. В контексте сайта "А" он много что сможет ( https://github.com/beefproject/beef/wiki/BeEF-modules)
|
|
|
|
|
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Линейный вид
