Sızma Testleri XSS açığı nasıl kullanılır?

MRRE

MRRE

Üye
1 Tem 2018
156
19
Bir sitenin admin login panelinde xss açığı buldum. Bunla neler yapılabilir, payloadları nelerdir?

Amacım zarar vermek değil ama nasıl kullanılır öğrenmek istiyorum.
 
Tarihe göre sırala Oylara göre sırala
C

Codx

Katılımcı Üye
30 Tem 2017
309
1
MRRE' Alıntı:
Bir sitenin admin login panelinde xss açığı buldum. Bunla neler yapılabilir, payloadları nelerdir?

Amacım zarar vermek değil ama nasıl kullanılır öğrenmek istiyorum.
Genişletmek için tıkla ...


XSS açığının birkaç çeşidi var. Bu söz konusu açık orada ne işe yarıyor, mesela?
Uzman olduğum bir konu değil ama her zaman sabit kodları olmaya biliyor da. POC videolarında mesela zaman zaman tek tek deneyip custom olarak o an yazıyorlar.
 
Oyla 0 Downvote
L

LosT

Yaşayan Forum Efsanesi
5 Şub 2015
8,116
31
-
Site sahibini kandırıp bilgisini çalabilirsin.
Örneğin; Elimizde XSS açıklı bir site var, bu sitede login sayfasının birebir aynısını yapacağız. Site sahibine panelin linkini vereceksin bir şekilde ama o linke XSS açığından faydalanarak kendi sayfana yönlendirme yapan bir kod ekleyeceksin. Bu kod sonucunda site sahibi linke girdiği an direk senin sitene yönlenecek ama farketmeyecektir çünkü sitenin aynı login sayfasını yaptın. Adam bilgileri girdiği zaman bilgileri kaydedip tekrar normal link ile adamın kendi sitesine yönlendireceksin bu sayede şifreyi falan yanlış girdiğini zanneder ve umursamaz. Daha sonra panel bilgileri elinde olmuş olacak.

NOT: Bilgi amaçlıdır, XSS açığına dikkat edelim!
 
Oyla 0 Downvote
H

H A

Katılımcı Üye
10 Tem 2019
850
27
KIBRIS
Merhaba, öncelikle xss açığının türüne bağlıdır.Bulduğun açık Reflected olarak geçiyor.
Medium Write-up için okuyabilirsin.
https://medium.com/@halilahmad/cross-site-scripting-reflected-1dc90662875e
Reflected'de site.com=/payload olarak bulmuşsundur.Xss'de reflected için ve IDOR'da bazı durumlarda sosyal mühendislik gerekmektedir.Yani bunu karşı taraftan etki beklemek gerekmektedir.
Çok fazla vaktim yok etiketi gördüğüm için girdim sorunuz olursa özel mesaj yoluyla iletişime geçebilirsiniz.
@fethimanisali Etiket için teşekkürler :)
 
Oyla 0 Downvote
Üst

Turkhackteam.org internet sitesi 5651 sayılı kanun’un 2. maddesinin 1. fıkrasının m) bendi ile aynı kanunun 5. maddesi kapsamında "Yer Sağlayıcı" konumundadır. İçerikler ön onay olmaksızın tamamen kullanıcılar tarafından oluşturulmaktadır. Turkhackteam.org; Yer sağlayıcı olarak, kullanıcılar tarafından oluşturulan içeriği ya da hukuka aykırı paylaşımı kontrol etmekle ya da araştırmakla yükümlü değildir. Türkhackteam saldırı timleri Türk sitelerine hiçbir zararlı faaliyette bulunmaz. Türkhackteam üyelerinin yaptığı bireysel hack faaliyetlerinden Türkhackteam sorumlu değildir. Sitelerinize Türkhackteam ismi kullanılarak hack faaliyetinde bulunulursa, site-sunucu erişim loglarından bu faaliyeti gerçekleştiren ip adresini tespit edip diğer kanıtlarla birlikte savcılığa suç duyurusunda bulununuz.