Estoy probando un sitio web de phishing en una réplica en escena de una aplicación web jsp. Estoy realizando el ataque habitual que implica cambiar el campo de publicación y acción del código fuente para desviarlo a mi propio script jsp escrito, capturar los inicios de sesión y redirigir a la víctima al sitio web original.
Parece fácil, pero créeme, hace más de 2 semanas que no puedo escribir los inicios de sesión en el archivo de texto. He probado la página jsp en mi servidor local de wamp, funciona bien. En etapas, cuando hago clic en el botón Aceptar para el campo usuario / contraseña, me dirijo al script loginAction.do. Lo verifiqué utilizando el complemento de datos de manipulación en Firefox. La única forma en que pude hacer que se ejecutara mi script era utilizar el proxy burp para interceptar la solicitud y cambiar el parámetro de acción para referir mi script cargado.
Quiero saber qué hace un loginAction.do? Lo he buscado en Google: es bastante común verlo en la aplicación jsp. He comprobado el código; no hay nada que me diga por qué la página siempre apunta al script .do en lugar del mío. ¿Hay algún tipo de redirección en Tomcat? Me gusta saber. ¿Soy incapaz de explotar este vector de ataque? Necesito la ayuda de la comunidad.