Unmantained Guida [GUDA]ESEGUIRE XSS (JAVASCRIPT) NEI SITI =)

[Samu®]

Dato che ho trovato un topic da parte di girolamo chiamato XSS contro Tor

ho deciso di fare una guida

Per usare queste stringhe e semplice :

1. dovete trovare un sito dove ci sono delle "input text" cerca,registrazioni,login vanno tutti bene...

2. trovare un sito vulnerabile a questo xss...

3. provare con queste stringhe...

potete provare con la semplice

<script>
window.alert("ciao sono un lamer che usa xss");
</script>

se funzionera ci siete riusciti se no il sito e fixato =)

Bye​

 

[Kayle]

Non solo, perchè può capitare che usano lo charcode per evitare le ", quindi sarebbe meglio disattivare anche i tag < e >, sostituendoli con &lt; e l'altro che era &gt; ma credo di sbagliarmi su quest'ultimo

 

[Samu®]

x fermare le xss in php esiste la funzione "addslashes();" per gli apici per gli spazi "trim();" oppure possiamo usare
funzioni come "htmlspecialchars();" o "htmlenties();" spero di essere stato chiaro =)

 

[lite0n]

Non mi preoccupo mica di una XSS injection nel mio sito Non cè un granchè.

Buona continuazione,

ToR

p.s. Girolamo Bahamiano sarà un secondo account di qualche mio contatto skype dato che da un paio di giorni che ho nel mex personale il mio sito Enjoyy

 

[Samu®]

grazie della buona continuazione anche a te tor...

 

[Girolamo Bahamiano]

Dato che ho trovato un topic da parte di girolamo chiamato XSS contro Tor

ho deciso di fare una guida

Per usare queste stringhe e semplice :

1. dovete trovare un sito dove ci sono delle "input text" cerca,registrazioni,login vanno tutti bene...

2. trovare un sito vulnerabile a questo xss...

3. provare con queste stringhe...

potete provare con la semplice

<script>
window.alert("ciao sono un lamer che usa xss");
</script>

se funzionera ci siete riusciti se no il sito e fixato =)

Bye​

come dice devil hunter le "" non vengono piu utilizzate. ora si usa la funzione <script language=javascript>eval(String.fromCharCode(charcode))</script>

 

[RedStar]

non ho capito dove bisogna inserire quelle stringhe