УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

		Форум АНТИЧАТ > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Песочница
Могу ли лайф чаты взломать сайт засчет js вставки их кода?

Опции темы

Поиск в этой теме

Опции просмотра

03.11.2020, 01:09

dragondragon

Guest

Сообщений: n/a

Провел на форуме:
27386

Репутация: 0

Когда ставишь лайфчат на сайт то ставишь код наподобие такого

Предположим владелец файла asd.js захочет взломать твой сайт, сервер, что бы получить доступ к базе/файлам может ли он код в asd.js поменять на вредоносный тем самым получить доступ к сайту?

или через js это невозможно?

03.11.2020, 20:33

fandor9

Guest

Сообщений: n/a

Провел на форуме:
169390

Репутация: 47

Цитата:

Сообщение от dragondragon

dragondragon said:
↑
Когда ставишь лайфчат на сайт то ставишь код наподобие такого

Предположим владелец файла asd.js захочет взломать твой сайт, сервер, что бы получить доступ к базе/файлам может ли он код в asd.js поменять на вредоносный тем самым получить доступ к сайту?
или через js это невозможно?

Зависит от приложения, но в принципе возможно. Например, если аппликация не использует одноразовые токен (CSRF) то тот же JS может с куками пользователя допустим создать нового админа сайта (для этого конечно нужно знать структуру запроса).

04.11.2020, 23:10

crlf

Guest

Сообщений: n/a

Провел на форуме:
169212

Репутация: 441

Цитата:

Сообщение от dragondragon

dragondragon said:
↑
или через js это невозможно?

Одномоментно, так, как если бы вы разместили сторонний код в исполняемых файлах на сервере - нет. Но вполне осуществим вектор атаки применяемый в случае XSS, т.е. на клиента, например браузер. Когда атакующий заменит или добавит нужное содержимое в файл asd.js и вы войдете в административную часть сайта, он сможет наравне с вами использовать привилегированный доступ текущей сессии. Тем самым, продолжить атаку уже на сервер и впоследствии получить доступы к базе и файлам.

« Предыдущая тема | Следующая тема »

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход