Si hago una prueba con un clásico <script>alert(1)</script> , ¿el propietario del sitio web ve mi intento? ¿XSS deja algún rastro detrás?
Intentaré construir un pequeño servidor en mi Ubuntu con un montón de sitios web para probar algo. ¿Dónde puedo encontrar la evidencia en el sistema operativo o el servidor?
Básicamente todo.
Si el vector XSS ( <script>alert(1)</script> en su caso) es parte de:
- HTTP headers (including cookies)
- URL (path, query string) except the anchor part
- POST data (including uploaded files)
Entonces el propietario del sitio web puede verlo.
Si su vector XSS es solo del lado del cliente, el propietario del sitio web aún puede registrarlo si La Política de seguridad del contenido se ha configurado para registrar ataques.
No, a menos que se le haya permitido hacerlo.
No es tan difícil ejecutar su propio servidor web:
echo "<?php echo $_GET['xss'];" > index.php
php -S 0.0.0.0:80
Esto iniciará un servidor web disponible en enlace .
También, revisa algunos proyectos como Damn Vulnerable Web Application , creado para ayudar a las personas a conocer algunas vulnerabilidades.
Además, para XSS, existen muchos recursos para aprenderlos:
Aquí puede ver un ejemplo de un XSS reflejado contra DVWA:
10.0.0.1 - - [15/Mar/2018:14:47:24 +0000] "GET /vulnerabilities/xss_r/?name=%3Cscript%3Ealert%28%27xss%27%29%3B%3C%2Fscript%3E HTTP/1.1" 200 1715 "http://10.0.0.1/vulnerabilities/xss_r/" "Mozilla/5.0 (X11; Linux x86_64; rv:59.0) Gecko/20100101 Firefox/59.0"
Si tiene algún tipo de seguridad adicional como un IDS o un WAF, se detectará e informará al propietario del sitio web.