| Istifadəçi |
2014-01-31 01:59 GMT |
|
|
|
| Gold |
 |
| Mesaj Sayı : 412 |
| Mövzu Sayı : |
| Rep Ver : |
| Rep Sayı : 18 |
Indi Saytda :  |
| Cinsiyyət : Oğlan |
|
| Şəhər : |
Ölkə :  |
| Məslək : |
| Yaş : |
Mesaj :  |
|
Bugün sizlərə XSS image injection nə deməkdir və necə həyata keçirilir bunu başa salacam.İndi belə bir sayt var:
Kod: http://www.hədəfsayt.com/profil?action=new_image e]
Bu saytda profil şəkli yükləmə bölümüdür.Biz bir text sənədi açıb içinə bir alert mesajı yazaq:
Kod: <script>alert(’TheLock’)</script> ode]
Bu text sənədini saytın qəbul etdiyi formatda məs:png,jpg və s. yaddaşa yazıb,sayta upload edək.Sayta şəkli yüklədikdən sonra şəkilə baxanda,məsələn:
Kod: http://www.hədəfsayt.com/profil?image=sekil.png e]
Sayt bizə şəkli alert mesajı olaraq göstərərsə deməli saytda XSS image injection var.Bəs biz bununla nə edə bilərik?
Ən yaxşı üsul meta ata bilərik.İçinə alert kodu yazdığımız text sənədini açaq ordakı hər şeyi silək sonra aşağıda verdiyim kodu əlavə edib şəkil kimi upload edək.Meta kodu:
Kod: <meta http-equiv="refresh" content="0;URL=http://www.indexlisayt.com/hacked.html">
İndi upload olunan şəkilə baxdıqda həmin səhifə 0 saniyə içində yəni birbaşa olaraq indeximizə yönlənəcək.
|
| Anti-armenia.ORG |
 |
| Istifadəçi |
2014-11-10 10:38 GMT |
|
|
|
| Informatix |
 |
| Mesaj Sayı : 1142 |
| Mövzu Sayı : |
| Rep Ver : |
| Rep Sayı : 91 |
| Indi Saytda : |
| Cinsiyyət : Oğlan |
|
| Şəhər : PHP |
| Ölkə : |
| Məslək : Front-end Web Developer |
| Yaş : |
| Mesaj : |
|
Mövzu üçün təşəkkürlər ..
XSS`ın məntiqi ora bura yönətltmək deyil .. MƏqsəd admin vəya həsdəf userin Cookie`lərini almaqdır ..
Yəni məsəlçun :
www.hədəfsayt.com/profil?action=<meta http-equiv="refresh" content="0;URL=http://www.indexlisayt.com/hacked.html"> - bura yönəltsən nəticə çıxmayacaq ..
Sadəcə səhifəyə yönəlir vəssalam .. İNdex qalmır ..
qarakom - Lol)
header('Content-Type: image/jpeg'); - səncə bunula XSS bağlanar ?))
XSS bunlarla bağlanır .. : htmlspecialchars() , strip_tags() , htmlentities() //
XSS var :
Kod: <?php
$a = $_POST['text'];
echo $a;
?>
XSS bağlanmıs :
Kod: <?php
$a = strip_tags($_POST['text']); // burda strip_tags() yerine htmlentities() veya htmlspecialchars() yazmaq olar //
echo $a;
?>
AZERBAIJAN!!! FUCK armenia!!!
|
| Anti-armenia.ORG |
|
