スポンサーリンク

XSSは、ウェブアプリケーションセキュリティの大きな問題の1つ。

Cross Site Scripting(クロスサイトスクリプティング) Post
フォワーダ
について。

GETのパラメータからformを作成する。
GETのパラメータをPOSTの値とし、ターゲットのサイトにJavaScriptで
サブミットさせることができる。
このように、踏み台となるスクリプト(サイト)を利用することで、簡単に
POSTでXSSさせることが可能になる。

説明
GETの代わりにPOSTを使ったXSSのフローを簡単に紹介する。

使い方
クエリストリングで変数を受けとる。
xss_targetにフォームのターゲットとなるサイトのURLを指定する。
ほかのパラメータは、xss_targetにPOSTで渡す値になる。

URLは以下のようになる。

http://paranoid.dip.jp/dev/secure/xss/post_forwarder.php?xss_target=http://babelfish.altavista.com/tr&doit=done&intl=1&tt=urltext&trtext=paranoia+is+virtue&lp=en_ja&btnTrTxt=Translate


上記のURLは、Altavista Babel Fish 翻訳へのPOST用フォームを作成する。

実際に生成されたhtmlの例

<form action="http://babelfish.altavista.com/tr" method="POST">
doit: <input type="text" name="doit" value="done" /><br />
intl: <input type="text" name="intl" value="1" /><br />
tt: <input type="text" name="tt" value="urltext" /><br />
trtext: <input type="text" name="trtext" value="paranoia is virtue"
/><br />
lp: <input type="text" name="lp" value="en_ja" /><br />
btnTrTxt: <input type="text" name="btnTrTxt" value="Translate" /><br
/>
<input type="submit" value="submit" /><br />
</form>
<script>
document.forms[0].submit()
</script>

元ネタ
http://www.whiteacid.org/misc/xss_post_forwarder.php

スポンサーリンク
スポンサーリンク
 
いつもシェア、ありがとうございます!


もっと情報を探しませんか?

関連記事

最近の記事

人気のページ

スポンサーリンク
 

過去ログ

2020 : 01 02 03 04 05 06 07 08 09 10 11 12
2019 : 01 02 03 04 05 06 07 08 09 10 11 12
2018 : 01 02 03 04 05 06 07 08 09 10 11 12
2017 : 01 02 03 04 05 06 07 08 09 10 11 12
2016 : 01 02 03 04 05 06 07 08 09 10 11 12
2015 : 01 02 03 04 05 06 07 08 09 10 11 12
2014 : 01 02 03 04 05 06 07 08 09 10 11 12
2013 : 01 02 03 04 05 06 07 08 09 10 11 12
2012 : 01 02 03 04 05 06 07 08 09 10 11 12
2011 : 01 02 03 04 05 06 07 08 09 10 11 12
2010 : 01 02 03 04 05 06 07 08 09 10 11 12
2009 : 01 02 03 04 05 06 07 08 09 10 11 12
2008 : 01 02 03 04 05 06 07 08 09 10 11 12
2007 : 01 02 03 04 05 06 07 08 09 10 11 12
2006 : 01 02 03 04 05 06 07 08 09 10 11 12
2005 : 01 02 03 04 05 06 07 08 09 10 11 12
2004 : 01 02 03 04 05 06 07 08 09 10 11 12
2003 : 01 02 03 04 05 06 07 08 09 10 11 12

サイト

Vim入門

C言語入門

C++入門

JavaScript/Node.js入門

Python入門

FreeBSD入門

Ubuntu入門

セキュリティ入門

パソコン自作入門

ブログ

トップ


プライバシーポリシー