elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Los 10 CVE más críticos (peligrosos) de 2020


+  Foro de elhacker.net
|-+  Programación
| |-+  Desarrollo Web (Moderador: #!drvy)
| | |-+  Duda Post Request y Request Headers
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Duda Post Request y Request Headers  (Leído 2,405 veces)
0xFer


Desconectado Desconectado

Mensajes: 400



Ver Perfil
Duda Post Request y Request Headers
« en: 22 Mayo 2017, 05:15 am »

Buenas, estoy intentando iniciar sección en una página usando Post Request con inyecciones javascript:

Código
  1. function post(path, params, method) {
  2.    method = method || "post"; // Set method to post by default if not specified.
  3.  
  4.    // The rest of this code assumes you are not using a library.
  5.    // It can be made less wordy if you use one.
  6.    var form = document.createElement("form");
  7.    form.setAttribute("method", method);
  8.    form.setAttribute("action", path);
  9.  
  10.    for(var key in params) {
  11.        if(params.hasOwnProperty(key)) {
  12.            var hiddenField = document.createElement("input");
  13.            hiddenField.setAttribute("type", "hidden");
  14.            hiddenField.setAttribute("name", key);
  15.            hiddenField.setAttribute("value", params[key]);
  16.  
  17.            form.appendChild(hiddenField);
  18.         }
  19.    }
  20.  
  21.    document.body.appendChild(form);
  22.    form.submit();
  23. }
  24.  
  25.  
  26. post('/ajax/sessions', {email:'micorreo:v@gmail.com',
  27. password:'micontra:v',
  28. remember:'true',
  29. phone_code:'',
  30. challenge_phone_code:'',
  31. otp_code:'',
  32. redirect:'',
  33. invite_code:'',
  34. account_invite:'',
  35. invite:'',
  36. csrf_token:'vKBDbBtxgCxKVVp2XSSxXR7lLSLXm4cbFk4wbcSRhjluhh7lla4WcT1pXUILKq8LulqwgIEnoeVGTwUAdsVDag==',
  37. recovery_token:'',
  38. io_blackbox:'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',
  39. source:'react'});
  40.  

Ya tengo entendido lo del srcf_token pero para qué sirve el io_blackbox? Ambos valores los puedo obtener del HTML para enviarlos por Post.

Ahora mi otra duda, al iniciar sección de forma normal, veo por "inspeccionar" estos valores:

Código:
Request Headers
view source
Accept:*/*
Accept-Encoding:gzip, deflate, br
Accept-Language:es-419,es;q=0.8
Connection:keep-alive
Content-Length:2017
Content-Type:application/x-www-form-urlencoded; charset=UTF-8
Cookie:
Host:
Origin:
Referer:
SomePage-livemode:true
User-Agent:Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36
X-Requested-With:XMLHttpRequest
x-revision:36458ec1b6040d71e0839a491287eee0cee4d531
x-SomePage-csrf-token:l0K0bampWSlM5tBiQEZxcg2nkKdWQf1KMtOosrfq9OBrebopoDmQCwru9PzMYgpvFTBulcNFLHy149yaarBmNQ==


Form Data
email:micrreo:v@gmail.com
password:micontra:v
remember:true
...
...
...

Lo de Arriba es cuando inicio sección de forma normal, el problema es que cuando lo hago usando el javascript( el primero codigo) se anulan estas 4 lineas en el Request Headers:

Código:
SomePage-livemode:true
X-Requested-With:XMLHttpRequest
x-revision:36458ec1b6040d71e0839a491287eee0cee4d531
x-SomePage-csrf-token:l0K0bampWSlM5tBiQEZxcg2nkKdWQf1KMtOosrfq9OBrebopoDmQCwru9PzMYgpvFTBulcNFLHy149yaarBmNQ==

Ahora mi duda es ¿Cómo hago para que el Request Headers sea idéntico a cuando inicio sección de forma normal? O sea cómo hago para especificar el Request Header desde mi codigo javascript?

EDITO: probaré con Este ejemplo

EDITO2: Me ha funcionado, ahora solo me queda la duda del para qué sirve io_blackbox y cómo funciona


« Última modificación: 22 Mayo 2017, 08:07 am por 0xFer » En línea

Código
  1. int getRandomNumber(){
  2.    return 4; //chosen by fair dice roll
  3.              //guaranteed to be random
  4. }
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
ayuda leer variables con POST/GET/REQUEST
PHP
soru13 2 2,843 Último mensaje 14 Febrero 2012, 09:02 am
por soru13
Your request timed out. Please retry the request.
Sugerencias y dudas sobre el Foro
z3nth10n 8 4,612 Último mensaje 4 Agosto 2013, 21:43 pm
por z3nth10n
Duda sobre http request
Dudas Generales
gelvez16 5 3,553 Último mensaje 28 Noviembre 2014, 07:12 am
por engel lex
request post and Head
Java
bengy 1 1,697 Último mensaje 18 Abril 2015, 15:32 pm
por Usuario Invitado
¿Cómo hacer un Get o Request Post en uná página? « 1 2 3 »
Desarrollo Web
jheberg 22 12,224 Último mensaje 24 Abril 2017, 23:21 pm
por xavi.py
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines