Foro de elhacker.net

Hola a todos !!! he encontrado una web vulnerable a XSS.. inserto etiquetas HTML y si me lo interpreta, por ejemplo h1, marquee, img, etc ... Hasta ahi todo bien pero el problema es que cuando intento meter codigo JS no me lo interpreta, intente de muchas maneras pero nada ! A mi parecer la validacion no permite ingresar la etiqueta <script> </script>. En este caso, de que manera podria insertar codigo javascript ????????
Gracias de ante mano  :laugh:

---

Alguna ayuda????? Hasta ahora solo he podido  hacerlos con etiquetas como <iframe> pero al insertar algun codigo js no me lo interpreta.  :(

Mod: No hacer doble post. Existe el botón modificar.

No hagas doble post, si quieres decir algo adicional usa el botón modificar

Recuerda que el foro no promueve comportamiento no etico o ilegal


Si no es tuya reporta el problema al administrador

Cuadno noob aparece, xssman aparece!!!!

El día que termines de probar todas estas posibilidades me avisas xD
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet


Ahhh, recuerda que cada navegador tiene una seguridad, por lo que, aunque no funcione en FF puede funcionar en Chrome o IE.

Hola dimitrix !! Ya he chekeado esa web y otras formas de ataque XSS pero como digo, parece que no esta interpretando la etiqueta <script>, lo intente tambien  de esta manera :
%3Cscript%3E alert( %22 hola %22 ); %3C/script%3E
Y nada, lo he hecho de muchas maneras !! pero hasta ahora solo me ha interpretado etiquetas HTML pura. O quiza lo este haciendo mal ?  :huh:

Aunque sea leiste el link? XD mas no necesitas

Amigo, lo he leido -gracias al traductor. No pienses que soy como aquellos que lo quieren todo a la mano! repito, aun sigo investigando en google sobre ataques XSS !

Aqui un ejemplo, estoy ingresando un iframe, como ya mencione, solo puedo ingresar etiquetas html pura :( .

http://subefotos.com/ver/?815e5bc0837394b460e692702334fadeo.jpg

Pero desde un iframe de distinto host no vas a poder "salir" asi que con iframe es inutil... es un xss reflejado, asì que tampoco es de riesgo...

Lee el link.... no uses <script> no uses <iframe> pirque ya viste que es inutil

Dimitrix !!!!!! Juro que habia probado con IE, Chromer y Opera pero tu comentario me desperto la curiosidad de probar con FF y......... SI FUNCA !! Si interpreta el alert(); de JS XD !! Estaba muy acostumbrado al chromer y al opera  ;D . Ahora si, a seguir leyendo para profundizar este tema  ;-) Gracias !!!!!!!!!!!

Nada, a seguir probando xDDD