Of is dat geen xss dan...
Hackerstopic #1
Dylanh schreef:Nee dat is geen XSS als je de console gebruikt.Of is dat geen xss dan...
Sebastiaanh schreef:Maar het heeft wel hetzelfde effect.Nee dat is geen XSS als je de console gebruikt.Eerdere citaten tonen
Dylanh schreef:Of is dat geen xss dan...
Dylanh schreef:http://nl.wikipedia.org/wiki/Cross-site_scriptingMaar het heeft wel hetzelfde effect.Eerdere citaten tonen
Sebastiaanh schreef:Nee dat is geen XSS als je de console gebruikt.Eerdere citaten tonen
Dylanh schreef:Of is dat geen xss dan...
Dylanh schreef:Alleen jij ziet het dan. Niet iemand andersMaar het heeft wel hetzelfde effect.Eerdere citaten tonen
Sebastiaanh schreef:Nee dat is geen XSS als je de console gebruikt.Eerdere citaten tonen
Dylanh schreef:Of is dat geen xss dan...
Xjessex schreef:Das hetzelfde als self-xssAlleen jij ziet het dan. Niet iemand andersEerdere citaten tonen
Dylanh schreef:Maar het heeft wel hetzelfde effect.Eerdere citaten tonen
Sebastiaanh schreef:Nee dat is geen XSS als je de console gebruikt.Eerdere citaten tonen
Dylanh schreef:Of is dat geen xss dan...
Dylanh schreef:Neehee.. als je bijvoorbeeld een url hebt:Das hetzelfde als self-xssEerdere citaten tonen
Xjessex schreef:Alleen jij ziet het dan. Niet iemand andersEerdere citaten tonen
Dylanh schreef:Maar het heeft wel hetzelfde effect.Eerdere citaten tonen
Sebastiaanh schreef:Nee dat is geen XSS als je de console gebruikt.Eerdere citaten tonen
Dylanh schreef:Of is dat geen xss dan...
http://leukewebsite.nl/profiel.php?naam="> src=x onerror=alert(1)> en je stuurt die naar iemand is dat anders dan in de console iets intypen -.-
Self-xss is een XSS waarbij je controle moet hebben over de pc van het slachtoffer om hem te triggeren. Niet super nuttig dus.
Een goed voorbeeld hiervan zijn XSS die via een beveiligd formulier gaan (met CSRF token).
Iets meer over XSS, er zijn 3 groepen waarin je praktisch alle XSS kan indelen.
Reflected XSS (sowieso meest voorkomend):
XSS payload zit in de request die je naar de server stuurt, er is veel discussie of cookie XSS hieronder valt (of onder stored). Ik vind dat het afhankelijk is per geval, meestal werkt een cookie xss alleen via een cookie-setter (dus een functie in de website, url of formulier, waarmee je cookie kan setten. In dat geval is het natuurlijk stored)
Stored XSS
XSS payload wordt opgeslagen, ofwel in een sessie of in gewoon een database o.i.d.
Vaak valt flash xss hier ook onder.
DOM based XSS
Erg leuk om deze te vinden altijd, worden praktisch nooit gefilterd door browsers. De XSS wordt uitgevoerd door een fout in de javascript code. Door een fout in jquery 1.6.2 was het bijvoorbeeld mogelijk xss payload te plaatsen in de $(). Dus een variable uit de url in de $(). gooien was fout.
Ik heb ondertussen 150+ XSS meldingen gedaan verspreid over alle Nederlandse banken (niet alleen XSS overigens). Flash XSS is een fout die ze praktisch allemaal hadden, gewoon oude flash bestanden die eigenlijk allang wegmoesten.
Overigens heb ik self-xss gewoon altijd gemeld, bij paypal had ik er een stuk of 4 en die zijn allemaal gewoon netjes betaald.
Een goed voorbeeld hiervan zijn XSS die via een beveiligd formulier gaan (met CSRF token).
Iets meer over XSS, er zijn 3 groepen waarin je praktisch alle XSS kan indelen.
Reflected XSS (sowieso meest voorkomend):
XSS payload zit in de request die je naar de server stuurt, er is veel discussie of cookie XSS hieronder valt (of onder stored). Ik vind dat het afhankelijk is per geval, meestal werkt een cookie xss alleen via een cookie-setter (dus een functie in de website, url of formulier, waarmee je cookie kan setten. In dat geval is het natuurlijk stored)
Stored XSS
XSS payload wordt opgeslagen, ofwel in een sessie of in gewoon een database o.i.d.
Vaak valt flash xss hier ook onder.
DOM based XSS
Erg leuk om deze te vinden altijd, worden praktisch nooit gefilterd door browsers. De XSS wordt uitgevoerd door een fout in de javascript code. Door een fout in jquery 1.6.2 was het bijvoorbeeld mogelijk xss payload te plaatsen in de $(). Dus een variable uit de url in de $(). gooien was fout.
Ik heb ondertussen 150+ XSS meldingen gedaan verspreid over alle Nederlandse banken (niet alleen XSS overigens). Flash XSS is een fout die ze praktisch allemaal hadden, gewoon oude flash bestanden die eigenlijk allang wegmoesten.
Overigens heb ik self-xss gewoon altijd gemeld, bij paypal had ik er een stuk of 4 en die zijn allemaal gewoon netjes betaald.
Ik heb een reflected XSS (denk ik) gevonden bij een groot Nederlands bedrijf. Maar ze hebben geen e-mail adres op de site staan zodat ik het niet kan melden.
En het wordt niet opgeslagen in een database ofzo, dus het is niet schadelijk.
Wat zouden jullie doen?
En het wordt niet opgeslagen in een database ofzo, dus het is niet schadelijk.
Wat zouden jullie doen?
Stefvdwel schreef:Ik heb een reflected XSS (denk ik) gevonden bij een groot Nederlands bedrijf. Maar ze hebben geen e-mail adres op de site staan zodat ik het niet kan melden.
En het wordt niet opgeslagen in een database ofzo, dus het is niet schadelijk.
Wat zouden jullie doen?
Wat voor soort bedrijf is het dan?Bugged schreef:Maakt het uit?En het wordt niet opgeslagen in een database ofzo, dus het is niet schadelijk.Eerdere citaten tonen
Stefvdwel schreef:Ik heb een reflected XSS (denk ik) gevonden bij een groot Nederlands bedrijf. Maar ze hebben geen e-mail adres op de site staan zodat ik het niet kan melden.
Wat zouden jullie doen?
Ik zou niets doen. Elk nederlands bedrijf, dat wil zeggen 90% van de bedrijven hebben fouten in hun software. Alleen proberen te hacken en melden als expliciet is aangegeven is op de website dat het mag. Via een responsible disclosure.
Bugged schreef:Ze hebben alleen een klantenservice en FAQ staan.En het wordt niet opgeslagen in een database ofzo, dus het is niet schadelijk.Eerdere citaten tonen
Stefvdwel schreef:Ik heb een reflected XSS (denk ik) gevonden bij een groot Nederlands bedrijf. Maar ze hebben geen e-mail adres op de site staan zodat ik het niet kan melden.
Wat zouden jullie doen?
Maar zoals Rogier al zegt ga ik niks doen
Stefvdwel schreef:Bij een klantenservice verwacht je toch wel enige contactgegevens lijkt me, ticketsysteem, telefoonnummer of e-mail-adres..Ze hebben alleen een klantenservice en FAQ staan.Eerdere citaten tonen
Bugged schreef:En het wordt niet opgeslagen in een database ofzo, dus het is niet schadelijk.Eerdere citaten tonen
Stefvdwel schreef:Ik heb een reflected XSS (denk ik) gevonden bij een groot Nederlands bedrijf. Maar ze hebben geen e-mail adres op de site staan zodat ik het niet kan melden.
Wat zouden jullie doen?
Maar zoals Rogier al zegt ga ik niks doen
Ik heb nu bij een bedrijf waar mijn vader vroeger werkte een SQL injection gevonden en zit te twijfelen of ik het zou melden of niet.
Ik lees op deze pagina dat het ook minder goed kan aflopen:
Quote:
In 2005 kreeg een 18-jarige hacker een werkstraf van 120 uur voor het inbreken bij een Amerikaans bedrijf, waar hij bouwtekeningen van het Pentagon wist te achterhalen. Zijn verweer dat hij het bedrijf "eigenlijk een dienst had bewezen door de zwakke plekken in de beveiliging van hun computersysteem bloot te leggen", werd niet geaccepteerd.
Dus wat zou ik doen?
Ik lees op deze pagina dat het ook minder goed kan aflopen:
Quote:
In 2005 kreeg een 18-jarige hacker een werkstraf van 120 uur voor het inbreken bij een Amerikaans bedrijf, waar hij bouwtekeningen van het Pentagon wist te achterhalen. Zijn verweer dat hij het bedrijf "eigenlijk een dienst had bewezen door de zwakke plekken in de beveiliging van hun computersysteem bloot te leggen", werd niet geaccepteerd.
Dus wat zou ik doen?
Stef schreef:Als ik jou was zou ik de frontpage aanpassen en er /&#%# HACKED BY STEF LOLOLOL #@$?# opzetten.Ik heb nu bij een bedrijf waar mijn vader vroeger werkte een SQL injection gevonden en zit te twijfelen of ik het zou melden of niet.
Ik lees op deze pagina dat het ook minder goed kan aflopen:
Quote:
In 2005 kreeg een 18-jarige hacker een werkstraf van 120 uur voor het inbreken bij een Amerikaans bedrijf, waar hij bouwtekeningen van het Pentagon wist te achterhalen. Zijn verweer dat hij het bedrijf "eigenlijk een dienst had bewezen door de zwakke plekken in de beveiliging van hun computersysteem bloot te leggen", werd niet geaccepteerd.
Dus wat zou ik doen?
