XSS на Спрашивай.py

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Уязвимости
XSS на Спрашивай.py

Опции темы

Поиск в этой теме

Опции просмотра

28.03.2014, 01:00

Schaposchnikowa

Новичок

Регистрация: 02.07.2012

Сообщений: 1

С нами: 7296086

Репутация: 0

Есть ХSS на сайте http://sprashivai.ru/ проходит запрос в поле "Имя пользователя (логин)" при регистрации.
">
IMAGE http://s020.radikal.ru/i715/1403/4e/0015bd1e39d3.jpg

И вот так:
">

IMAGE http://s020.radikal.ru/i712/1403/bb/64c5396bb743.jpg

Проблема в том, что в адресной строке ничего не отображается и не могу сообразить как оформить ссылку для кражи куки. Как реализовать эту XSS? Подскажите пожалуйста.

𝕏 Twitter Reddit Telegram Копировать ссылку

28.03.2014, 01:00

Suicide[VII]

Постоянный

Регистрация: 15.04.2011

Сообщений: 396

С нами: 7935446

Репутация: 49

Не пройдет, значение введенное в "username", передается только в POST запросе.

28.03.2014, 01:00

rox@hak

Постоянный

Регистрация: 04.07.2010

Сообщений: 592

С нами: 8345846

Репутация: 221

Цитата:

Сообщение от Suicide[VII]

Не пройдет, значение введенное в "username", передается только в POST запросе.

А что, с пост запросами нельзя хсс провести? Еще как можно!
Тебе нужно зайти на спрашивай.ру, посмотреть исходный код формы
если форма стандартная взять адрес скрипта который обрабатывает пост запрос
создать на хостинге страницу с такой формой и в валуе прописать хсс
яваскриптом ее автосабмитить!
но жертву нужно будет заманивать на свой сайт!
Можешь еще попробовать переменные отправлять GET запросом, иногда прокатывает!

28.03.2014, 01:00

Suicide[VII]

Постоянный

Регистрация: 15.04.2011

Сообщений: 396

С нами: 7935446

Репутация: 49

Цитата:

Сообщение от rox@hak

А что, с пост запросами нельзя хсс провести? Еще как можно!
Тебе нужно зайти на спрашивай.ру, посмотреть исходный код формы
если форма стандартная взять адрес скрипта который обрабатывает пост запрос
создать на хостинге страницу с такой формой и в валуе прописать хсс
яваскриптом ее автосабмитить!
но жертву нужно будет заманивать на свой сайт!
Можешь еще попробовать переменные отправлять GET запросом, иногда прокатывает!

Ну это да.
Ответил по вопросу о возможности использования этого через адр.строку.

« Предыдущая тема | Следующая тема »

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход