목록XSS (6)

도카이트

[DVWA] Stored XSS (Medium)

XSS (Cross Site Scripting) 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. Stored XSS 악성 스크립트가 서버에 저장되고 서버의 응답에 담겨오는 XSS 페이지 화면 - 소스코드를 확인하러 가보자 ! 소스코드 // Sanitize message input $message = strip_tags( addslashes( $message ) ); $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? m..
Web/DVWA 2022. 5. 27. 02:00
[DVWA] Reflected XSS (Medium)

XSS (Cross Site Scripting) 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. Reflected XSS 악성 스크립트가 URL에 삽입되고 서버의 응답에 담겨오는 XSS 페이지 화면 - 소스코드를 확인하러 가보자 !! 소스코드 - File Inclusion 문제에서 봤던 반가운 함수가 눈에 보인다 ! - str_replace 함수로 로 문자열이 완성되는 것을 이용한다. - 성공적으로 alert 함수가 실행된 것을 확인할 수 있다. 다음으로 시도할 방법은 CSRF 문제에서 사용했던 방법과 동일하다. 위 방법처럼 손쉽게 st..
Web/DVWA 2022. 5. 27. 00:21
[DVWA] DOM-Based XSS (Medium)

XSS (Cross Site Scripting) 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. DOM-based XSS 악성 스크립트가 URL Fragment에 삽입되는 XSS Fragment는 서버 요청 / 응답에 포함되지 않는다. 페이지 화면 - 바로 소스코드를 살펴보러 가자! 소스코드 - stripos 함수를 통해서
Web/DVWA 2022. 5. 26. 23:37
[DVWA] Stored XSS (Low)

XSS (Cross Site Scripting) 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. Stored XSS 악성 스크립트가 서버에 저장되고 서버의 응답에 담겨오는 XSS 페이지 화면 - 이름과 메세지를 작성할 수 있는 화면이 보인다 ! - Sign Guestbook을 클릭 시 작성한 데이터가 전송되어 글이 올라가는 형식인 듯하다. 소스코드의 일부만 긁어서 가져와보았다! 코드는 다음과 같다. 소스코드
Web/DVWA 2022. 5. 20. 01:52
[DVWA] Reflected XSS (Low)

XSS (Cross Site Scripting) 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. Reflected XSS 악성 스크립트가 URL에 삽입되고 서버의 응답에 담겨오는 XSS 페이지 화면 - 대뜸 이름이 어떻게 되냐고 물어보는 문제이다… - Reflected XSS 문제이므로 바로 이름 입력 칸에 바로 JavaScript 구문을 삽입해보자 ! alert 함수를 이용한 경고창 출력 - name 입력 폼에 JavaScript 구문을 삽입하여 Submit 할 경우 JavaScript 구문이 실행된다. - 성공적으로 XSS 공격이 이..
Web/DVWA 2022. 5. 20. 01:46
[DVWA] DOM-Based XSS (Low)

XSS (Cross Site Scripting) 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. DOM-based XSS 악성 스크립트가 URL Fragment에 삽입되는 XSS Fragment는 서버 요청 / 응답에 포함되지 않는다. 페이지 화면 - 언어를 선택할 수 있는 옵션이 존재한다! - Select를 클릭 시 URL에 default 파라미터 값이 추가된다! default의 파라미터 값으로 option 내용 전달 - English를 선택하고 Select 버튼을 클릭하자 URL에 default 파라미터 값으로 English..
Web/DVWA 2022. 5. 19. 22:47
Prev 1 Next