Foro de elhacker.net

Buenas, quería saber si de alguna forma se puede concretar un XSS en éste caso... En el campo de búsqueda introduzco:

dfgsdfg" onload=alert(1);

y en el fuente sale:

<input id="searchInput" type="text" value="dfgsdfg&quot; onload=alert(1);" placeholder="Buscar..." maxlength="100" name="search"

como vemos convierte a html entities los " y me impide escaparme del atributo...

Ésto me parece imposible de bypassear y con el tag value no podría ejecutar script mandando javascript:alert(1)... Se les acurre alguna forma? Gracias y saludos!

Intenta pasando /" \", intenta inyectando con String.fromCharCode(),
puedes pasar esto:

o inyectar con hexadecimal el " (&#x27), si no funciona, creo que tiene un muy buen filtro

Hola! Lo primero que decis no sirve en éste caso, eso serviria si en el servidor usa alguna función como mysql_real_escape_string() que escape los ' u los " con /, entonces si mandas /", cuando la función quiera escapar al ", terminaría quedando asi: //", una barra es la que mandamos nosotros y la otra la que crea la funcion, y el " quedaría habilitado. Pero en éste caso que muestro, se ve que está encodeando a htmlentities las ", y ya no hay forma de hacer nada por lo menos en esa reflección... Saludos!

Hola, ese campo está escapado correctamente utilizando entidades HTML, no hay nada que hacer para poder ejecutar un XSS dentro de ese campo.

Saludos.