DOM XSS attacco fallito in Firefox

Naviga le tue risposte
6

Sto tentando di eseguire un attacco DOM XSS per sfruttare una vulnerabilità della pagina Web localhost. Sono in grado di eseguire l'attacco con successo su IE-11 e Chrome. Ma Firefox mi sta impedendo di eseguire l'attacco codificando lo script che ho inserito nell'URL. Sto eseguendo l'attacco come spiegato nella pagina ufficiale di OWASP . Per bypassare l'auditor XSS di Chrome sto seguendo il trucco spiegato in questo fantastico articolo (anche se spiega Reflected XSS in articolo ma funziona bene anche per DOM XSS). Quindi, come posso eseguire l'attacco DOM XSS all'ultimo Firefox?

Nota: sono in grado di eseguire Reflected XSS con Firefox ( esempio ) ma voglio DOM XSS in modo specifico dove le informazioni non vengono inviate al server.

    
posta Siddharth 07.03.2014 - 04:05
fonte

2 risposte

9

Il motivo è semplice: Firefox (penso dalla versione 27 on-wards) ora codifica (URL codificato) tutto e ora puoi sfruttare solo DOM XSS in Firefox se nel codice gli sviluppatori faranno un errore esplicito di decodifica.

Potresti trovare utile questo articolo pubblicato di recente: link

    
risposta data 07.03.2014 - 16:30
fonte
5

Forse riesamina il link per aiutarti a determinare quali caratteri sono codificati o meno in base al fornitore del browser.

Ad esempio, nel seguito ... scheme://user:pass@host/path/to/page.ext/Pathinfo;semicolon?search.location=value#hash=value&hash2=value2 ... i caratteri che non sono codificati nell'URL nella parte PathInfo , nella parte di ricerca e nella parte hash in Firefox sono elencati di seguito (screenshot di una parte della pagina collegata sopra):

    
risposta data 07.03.2014 - 04:46
fonte

Leggi altre domande sui tag

Crittografia SSD - Differenza tra i modelli Quali sono i possibili metodi per calcolare l'entropia della password?