Dimostra XSS quando la maggior parte degli attacchi ha come risultato un errore 403?

Question

Dimostra XSS quando la maggior parte degli attacchi ha come risultato un errore 403?

#1 da (2 voti)

0

Durante il test di un sito Web che ha una politica di divulgazione responsabile, ho scoperto che posso inserire il codice e chiudere l'attributo e inserire del testo personale:

<input type="text"  value=""xsstext>

Ora sono sicuro di poter inviare loro un'e-mail che mostra loro che posso inserire <!-- e commentare il resto della pagina, ma non penso che prenderanno troppo sul serio. Da quanto ho provato, genera un errore 403 quando si usa:

"javascript:
"onload=     (and onmouseover, onfocus etc.)
"onload:
"<script >
"<svg >
"<iframe>
"expression(

È possibile inserire ad esempio:

<b>batman</b>
<img>
<div>

Sono abbastanza nuovo per XSS. Esiste un modo per eseguire qualche script o fare qualcosa di più utile qui?

web-application xss

posta toom 10.04.2018 - 12:14

fonte

1 risposta

Leggi altre domande sui tag web-application xss

Che cosa significa avere un certificato radice CA ritirato? Come proteggere i dettagli CC e CCV per un piccolo hotel?

score 2 · Accepted Answer

Il filtro qui sembra essere una sorta di lista nera. Non esclude il filtro o codifica caratteri pericolosi come < e > , ma invece blocca completamente le richieste contenenti determinate stringhe o pattern. Non mi sorprenderebbe se l'applicazione stessa non avesse alcuna protezione XSS, ma davanti c'è un firewall per applicazioni web (WAF) che lancia un 403 quando vede qualcosa che sembra pericoloso.

La buona notizia su questo tipo di filtro è che raramente sono a tenuta d'aria. La cattiva notizia è che può essere difficile trovare qualcosa che riesca a superarlo. Ecco alcuni suggerimenti che potrebbero funzionare o meno:

Prova la distinzione tra maiuscole e minuscole: <sCRipT> , ONloAd
Ogni singolo gestore di eventi nel libro: onerror , ecc., ecc.
Altri schemi URL pericolosi: <a href="vbscript:...">
codifica URL delle lettere ordinarie: %3c%73%63%72%69%70%74%3e

Per ulteriori suggerimenti, consulta OWASP XSS Filter Evasion Cheet Sheat . In generale, prova le piccole cose (ad es. Solo la stringa onerror , non " onerror="alert('XSS');" ) e guarda cosa passa, quindi vai a un carico utile completo. E ricorda, questo è un gioco in cui la persistenza viene premiata.