[CSS ou XSS] Cross Site Scripting

[ModStryker 15]

Introdução

 

Hoje vou explicar o que é e qual o objetivo da técnica conhecida como CSS (Cross Site Scripting).

 

O que é?

 

Tambem chamada simplesmente de CSS ou XSS, o Cross Site Scripting é uma técnica que visa roubar cookies de usuários através de seus navegadores. Geralmente o invasor injeta comandos HTML e Java Script em alguma função, conseguindo obter sessões de usuários mesmo sem ter autorização para isso. Qual a utilidade disso, então?. Podemos ler o e-mail de uma pessoa no seu webmail, acessar o seu banco on-line etc. Tudo sem precisar saber a senha.

 

Exemplo

 

Vejamos um exemplo fictício:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Vamos analisar : o script mail.pl passa dois parâmetros:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Se colocarmos alguns comandos HTML, o link poderia ficar assim:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

<script>alert("site esta vulneravel")</script>readmail&login=1

 

Ou poderiamos fazer assim:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

readmail<script>alert("site esta vulneravel")</script>&login=1

 

Logo sem seguida, o navegador iria retornar um alerta com a mensagem:

 

 

Bem é isso , no próximo tópico estarei mostrando como explorar melhor o XSS e obter os cookies alheios e outros truques.

 

Créditos:

 

100% a ModStryker ou Leader (EU)

 

 

 

 

[Alitrol Saveg 0]

Aqui não deu certo mais valeu a pena você ensinar levou meu agradecimento estarei tentando em outros tópicos.

[phoen¡x 0]

Seria impossível fazer ele pegar, mesmo se achasse os navegadores (atuais) tem uma proteção conta injeção da tag <script>.

[Alitrol Saveg 0]

Seria impossível fazer ele pegar, mesmo se achasse os navegadores (atuais) tem uma proteção conta injeção da tag <script>.

 

Então posta aqui como faz isso a lembrando nem tudo é baseado em habbo -q

[HoruS* 22]

LOL vc é fodao em fodao no CTRL+C CTRL+V

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

ai seus créditos esta phoenix ou leader :D

 

bom garoto bom

[phoen¡x 0]

Então posta aqui como faz isso a lembrando nem tudo é baseado em habbo -q

Não, qualquer site "avançado" que você tentar invadir por falhas toscas dessas ele já tem um hiper proteção e outra, isso é proteção do próprio Browser quando ele detecta uma injeção de script por $_GET ou qualquer coisa do tipo ele se recusa a executar.

[Lєader 0]

LOL vc é fodao em fodao no CTRL+C CTRL+V

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

ai seus créditos esta phoenix ou leader :D

 

bom garoto bom

 

Meu é o mesmo cara --' e tambem sou eu.

 

Procure se informar antes de acusar.