PENTESTING WEB PARTE 4

 PENTESTING WEB PARTE 4 - XSS3

Inyección XML - XSS - Subida de Archivos

En esta entrada veremos como podemos realizar una inyección XML-XSS subiendo un archivo y llamándolo paraqué ejecute nuestro payload, en este caso podemos usar el mismo payload del ejemplo anterior,  de esta forma nos va a dejar pasar y con ello el alert aparecerá en el navegador al llamar el archivo.

En este caso vamos a el área de subida de archivos, luego vamos a buscar nuestro archivo xml que habíamos creado previamente, presionamos el botón buscar, cargamos el archivo.

Ahora solo queda llamar al archivo de la siguiente ruta /uploads/admin1/xss.xml y se ejecutara nuestro escript.

Espero les sea de utilidad, nos vemos en la siguiente entrada.

Happy-Hacking 😊

Leer Más

PENTESTING WEB PARTE 3

PENTESTING WEB PARTE 3 - XSS2

Inyección XML - XSS

En esta entrada veremos como podemos realizar una inyección XML-XSS, en este caso, podemos usar el mismo payload del ejemplo anterior, esta vez lo vamos a encodear en html y de esta forma nos va a dejar pasar y con ello el alert aparecerá en el navegador.

En este caso vamos a el área de administración, luego vamos a buscar el usuario, presionamos el botón buscar y vemos lo que capturamos en BurpSuite.

Ahora que ya capturamos agregamos el script que encodeamos en html  (solo vamos a encodear  esto: "<script>"), luego, precionamos el botón de forward y dejamos pasar la petición.

Como vemos la inyección funciono y nos ejecuto el alert con lo que nosotros habíamos agregado.

Espero les sea de utilidad, nos vemos en la siguiente entrada.

Happy-Hacking 😊

Leer Más

PENTESTING WEB PARTE 2

 PENTESTING WEB PARTE 2 - XSS1

¿Qué es Cross-Site-Scripting?

Los ataques Cross-Site Scripting (XSS) son un tipo de inyección, en el que se inyectan scripts maliciosos en sitios web que. Los ataques XSS ocurren cuando un atacante usa una aplicación web para enviar código malicioso, generalmente en forma de un script del lado del navegador, a un usuario final diferente. Las fallas que permiten que estos ataques tengan éxito están bastante extendidas y ocurren en cualquier lugar donde una aplicación web use la entrada de un usuario dentro de la salida que genera sin validarla o codificarla.

Tipos de ataques XSS

• XSS Reflejado: Es el más común, este no se almacena en el código en el servidor.

• XSS Almacenado o Persistente: Este tiende a almacenar el código en el servidor.

• XSS Basdo den DOM: Inyecta mediante la url pero no se carga como parte de la web en su código fuente, podemos decir que el código no llega a la web, únicamente se ejecuta en el navegador de la víctima.

Recursos

Entre los recursos que se pueden usar hay gran cantidad en la web, de los cuales podemos usar o apoyarnos con estos: 

• https://github.com/payloadbox/xss-payload-list
• https://owasp.org/www-community/attacks/xss/
• https://portswigger.net/support/using-burp-to-find-cross-site-scripting-issues
• https://portswigger.net/web-security/cross-site-scripting.

¿Dónde Podemos Practicar?

Podemos hacerlo en:

• La academia de Burp suite: https://portswigger.net/web-security/cross-site-scripting.
• La academia de Hack The Box: https://academy.hackthebox.com/
• La academia de TryHackme: https://tryhackme.com/

También lo podemos hacer con ayuda de repositorios de github hay muchos escenarios para pruebas, en este laboratorio usaremos ese repositorio DVWS,  la instalación lo vimos en la primera parte1.

¿Cómo hacer una inyección XSS?

Para realizar una inyección necesitamos de payloads, un payload generalmente es lo que usamos para inyectar dentro del o los parámetros vulnerables que tiene la aplicación.

Para este ejemplo vamos hacer un XSS Reflejado en el login.

Primero vamos a colocar un user y una contraseña, luego de esto configuramos BurpSuite para poder capturar trafico.

Luego de esto vemos que al capturar podemos modificar la petición, (dejo ambas), agregamos el script y presionamos el botón forward, luego regresamos al navegar y vemos como funciona, mostrando el alert con el mensaje que definimos previamente.

Espero les sea de utilidad, nos vemos en la siguiente entrada.

Happy-Hacking 😊

Leer Más