XSS ve FF3.6 vs FF8.0
HackForum
![Efektivní hacking s fyzickým přístupem](/images/reklama/bashbunny468x60.png)
| Ahoj, hledal jsem ted XSS v jedne webove aplikaci a stejny payload mel v prohlizeci FF3.6 za nasledek vyskoceni alertu, zatimco v FF8.0 se nic nestalo. Vzdy jsem pro hledani XSS pouzival nejnovejsi verzi FF, proto me toto chovani docela zaskocilo. Otazka tedy zni, ma FF nejakou ochranu proti XSS, pripadne jde to deaktivovat? (odpovědět) | KarlosOmegos | 193.200.150.* | 18.12.2011 15:03 |
|
|
|
re: XSS ve FF3.6 vs FF8.0 | # |
| Asi budeš muset být více konkrétní. Každá nová verze prohlížeče zaceluje nějaké slabiny verzí předchozích. Největší rozdíl mezi zmíněnými verzemi je ale v podpoře Content Security policy, kterou zavedl FF4. Jde o to, jesti tuto politiku podporuje i samotná webová aplikace. Zkus se podívat na HTTP response hlavičky, které podporu CSP prozradí.
----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem. (odpovědět) | |
|
|
re: XSS ve FF3.6 vs FF8.0 | # |
| O CSP se urcite nejedna. Bohuzel uz nemam presny payload, ale jednalo se GET based reflected XSS (tedy pro vyvolani JS stacila pouze URL), do URL se zadal null byte (%00), coz zblblo escapovaci mechanismus dane aplikace a dal za nej se proste jen napsal do URL JS kod. Tato url pak zobrazena ve FF3.6 JS kod vykonala, ale ve FF7 ne. (odpovědět) | KarlosOmegos | 80.237.226.* | 18.12.2011 21:58 |
|
|
|
re: XSS ve FF3.6 vs FF8.0 | # |
| v XSS (Cross Site Scripting) Cheat Sheet jsou popsany jednotlive verze prohlizecu [link] ;) (odpovědět) | _infinity_-_ | 213.155.33.* | 18.12.2011 22:42 |
|
|
|
re: XSS ve FF3.6 vs FF8.0 | # |
| Na webu mozilly najdeš seznam bugů, které jednotlivé verze záplatovaly: [link]
----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem. (odpovědět) | |
|
|