LINUX.ORG.RU

Доктор, это опасно?

 , , ,


0

1

Приветствую в Наступившем!

Нарыл на одном местечковом сайтике такую xss

Вопрос, чем она опасна, кроме сценария, описанного в PoC?

Как я думаю, можно украсть печеньки, подменить ссылки на страничке.

Вроде все... или нет?! :-)

Жду экспертного мнения.

Добавлено

Сайт за фирменным WAF хостера nginx

★★★★★

Последнее исправление: Twissel (всего исправлений: 2)

Как я думаю, можно украсть печеньки, подменить ссылки на страничке.

Это уже песец, не?

x3al ★★★★★
()
Ответ на: комментарий от x3al

Ну тут все зависит от мозгов админа Wordpress, не?

И от разграничения прав на сайте. Так что, имхо, не совсем.

Песец это когда ноги уже холодные shell на сервере.

А, как я понимаю, ссылки подменяются до перезагрузки странички?

Twissel ★★★★★
() автор топика

[qoute]подменить ссылки на страничке Если на гитхаб с описанием баги - гуд.

anonymous
()
Ответ на: комментарий от Twissel

Вытаскиваются кукизы админа => совсем песец.

Ссылка на админку подменивается на фишинговую => совсем песец * 2

Если этот вордпресс ещё пользуется как какой-нибудь магазин (вроде, были плагины для этого) — даже без админа совсем песец.

x3al ★★★★★
()
Ответ на: комментарий от anonymous

Анон, там такой уровень подготовки, что лучше даже и не писать им, т.к. напишешь — будешь виноват первым ;-)

Потому и пришел на ЛОР, хоть с вами поделюсь, кто понимает, что к чему.

Twissel ★★★★★
() автор топика
Ответ на: комментарий от Twissel

Какой-нить бот рано или поздно доберется до этого сайта и пополнит им свою бд для рассылки спама/ддоса/etc. Не говоря уже о том, что соседние сайты могут пострадать. Так что действуй!

Nietzsche
()

Можешь подгружать порнуху динамично.

anonymous
()
Ответ на: комментарий от Nietzsche

Фридрих, а как же waf?

Я его тоже щупал, он вроде работает :-)

Twissel ★★★★★
() автор топика
Ответ на: комментарий от Nietzsche

Вроде да, на его основе.

Джаббер свой дай. Сам посмотришь :-)

Twissel ★★★★★
() автор топика
Ответ на: комментарий от NikitaProfi

Ну как бы да, мне от них никакого вреда не было.

А вредить людям на пустом месте это неправильно.

Все подправили, залатали.

Twissel ★★★★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.