Zuerst, tu das nicht Ich selbst verstehe nicht ganz, warum es passiert ist, aber es hat und lassen Sie mich Ihnen sagen, wie. Es war also ein normaler langweiliger Tag für mich, Lesen Sie zufällige Pen-Test-Beschreibungen und spielen Sie wie immer mit Burp Suite herum. Da bin ich auf den seltsamsten Fehler gestoßen, auf den ich gestoßen bin, ob das überhaupt ein Fehler ist oder etwas ganz anderes. Es hat mich erstaunt, was ich gerade getan habe, aber gleichzeitig hatte ich Angst von innen.
Also las ich diese Artikel zur gleichen Zeit, als ich versuchte zu sehen, ob ich auf dieser Website eine falsche Zahlung durchführen könnte, sagen wir example.com . Jetzt example.com/payment_login , ist die Anmeldeseite für das Zahlungsportal der Website. Wenn Sie einen Pen-Test durchführen, denken Sie daran, dass Unternehmen möglicherweise damit einverstanden sind, dass Sie ihre Homepage abstürzen lassen, aber niemals mit ihren Zahlungsportalen. Also, ich hatte bereits ihre Systeme früher gehackt, wo ich die Daten aller ihrer Benutzer bekam, dort Anmeldeinformationen und mehr, wie ich es gemacht habe, ist eine Geschichte für verschiedene Zeit nur wissen, dass es wegen der Verwendung von Standard-Passwörter passiert ist.
Mit einem dieser Konten habe ich mich auf der Website angemeldet und versucht, die Transaktion durchzuführen, ohne den tatsächlichen Betrag bezahlen oder in irgendeiner Weise manipulieren zu müssen. Ich liebe es immer, mit Transaktionen herumzuspielen, weil ich das Gefühl habe, dass dies einer der wichtigsten Teile der Website ist. Wenn Sie das nicht sichern, wird es Sie am härtesten treffen.
Zum Glück für sie war die Transaktionsseite ziemlich sicher und ich konnte kaum einen Fehler finden, nachdem ich 3 Stunden am Tag weggeschliffen hatte. Zum Glück hatte ich Rülpsen die ganze Zeit eingeschaltet.
Glück gehabt oder nicht?
Burp Suite war die ganze Zeit eingeschaltet, als ich meinen Stift-Test auf dem Zahlungsportal dieser Website trug. Ich war so konzentriert darauf, jeden einzelnen Teil des Pakets zu sehen, das über das Abfangen in der Proxy-Registerkarte von Burp übertragen wurde, dass ich die Zielregisterkarte von Burp während der gesamten Zeit nie geöffnet habe.
Niedergeschlagen und frustriert, als ich den Pen-Test für eine Weile stoppen wollte, öffnete ich gerade die Registerkarte Target und sah einen großen roten Punkt, der eine bestimmte Sicherheitslücke auf der Webseite angab, die ich getestet hatte.
Es ist wirklich sehr selten, diese roten Punkte zu sehen, da die meisten Webentwickler heutzutage solche Öffnungen auf ihren Websites nicht hinterlassen. Ich war begeistert, endlich etwas gefunden zu haben. Um wahr zu sein, war ich ein bisschen überrascht, den roten Punkt zu sehen, ich habe alles über die besondere Sicherheitsanfälligkeit unten im von Burp dokumentierten Beratungsabschnitt gelesen.
Erstellen der Nutzlast
Sobald ich das XSS-Problem verstanden hatte, ging ich den HTML-Quellcode durch, um mir eine Vorstellung davon zu geben, wo ich die XSS-Nutzlast einfügen und wie sie aussehen sollte. Es war ziemlich einfach, da ich kein Gehirn anwenden musste, um sie und alles zu codieren. Die Zeichen wie <, ‚ und “ waren bereits erlaubt, wie im Abschnitt issues angegeben. Also habe ich das Abfangpaket an den Repeater übertragen und dies war die Nutzlast und die Antwort, die ich erhalten habe, als ich es im Repeater weitergeleitet habe.