Websecurity - Веб безпека

У лютому, 15.02.2017, я знайшов Cross-Site Scripting уразливість на сайті http://w3schools.com. Ця уразливість працює й досі. Про що найближчим часом сповіщу адміністрацію сайта.

Це онлайновий інтерпретатор HTML і JavaScript. Подібний до мого інтерпретатору MustLive Perl Pascal Programs Interpreter, що я розробив в 2006 році. Раніше я писав про уразливості в онлайн інтерпретаторах, зокрема про Cross-Site Scripting в моєму Perl Pas Interpreter і в CodeIDE, а також DoS в Perl Pas Interpreter і TryRuby. Про що можете почитати в статтях Міжмовний XSS - Cross-Language Scripting та DoS в онлайн інтерпретаторах.

XSS (Strictly social XSS):

https://www.w3schools.com/code/tryit.asp?filename=FCQSXD7SFDNW

Код спрацює при кліку по кнопці Run, що можна автоматизувати з використанням ClickJacking, тому що на сайті немає захисту від таких атак.

XSS:

POST запит до https://tryit.w3schools.com/tryit_view.php
code=%3Cw3scrw3ipttag%3Ealert(document.cookie)%3C%2Fw3scrw3ipttag%3E

Це два варіанти запуску тієї самої уразливості. Враховуючи, що XSS в онлайн інтерпретаторі, то це Cross-Language Scripting.

This entry was posted on 23:55 22.04.2017 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.