Also ich mache mal eine Zusammenfassung was Cross-Site Scripting überhaupt ist, für die User die damit noch keine Erfahrung gemacht haben.
1. Was ist eine XSS Lücke?
Unter einer XSS Lücke versteht man eine art HTML/Javascript injection. Sie wird mittels einer Eingabefläche durchgeführt. Die eingegebenen Daten werden unüberprüft wieder ausgegeben. Z.B. bei einer Suchanfrage.
2. Wie benutze ich diese?
Um eine verwundbare Seite zu finden, benutzt man HTML Tags. Ich benutze meist <b> oder <u>. Wenn man nun eine Seite mit einer Eingabe hat, bei der die Eingabe wieder ausgegeben wird kann man diese so benutzen:
Man gibt in eine Feld seinen HTML Tag und einen belibigen Text ein.
z.B. : <u>asdasd</u>
Wenn die Ausgabe nun unterstrichen ist, kann man diese ausnutzen.
Dazu mehr im 3. Abschnitt.
Normaler Weise lässt man ein Pop Up öffnen um zu beweisen das man die Lücke entdeckt hat. Der Code dafür ist <script>alert("Euer text") </script>
Wenn nun ein Pop Up kommt habt ihr es geschaft. Den Link mit der Suchangabe kann man nun Posten oder an den Betreiber der Seite schicken.
3. Was ist gefährlich an XSS?
�ber eine XSS Lücke kann man über einen Link den Browser einer fremden Person dazu bringen einen Schadcode auszuführen.
Wenn dieser Schadcode zum Beispiel dafür ausgelegt ist Cookies zu klauen, und der Link mit dem Schadcode wird von einem Admin einer Seite geöffnet ist der Admin unter umständen sehr schnell seine Seite los.
Man kann aber auch andere Sachen damit machen. Es kommt nur darauf an was man sich bei diesem Code einfallen lässt.
Ich hoffe das war etwas lehrreich. Wenn ihr noch fehler/verbesserungsvorschläge habt bitte posten =)
