Instruktor: OK, spójrzmy
teraz na zapisany przykład XSS.
Teraz przechowywany XSS jest bardzo podobny do naszego odbitego.
Pozwala na wstrzyknięcie kodu JavaScript do przeglądarki, kod jest
wykonywany na osobach, które odwiedzają stronę.
Jedyna różnica polega na tym, że
odbity musisz wysłać adres URL do swojego celu.
Tak więc cel musiał faktycznie
kliknąć adres URL, aby wykorzystany mógł się uruchomić lub uruchomić kod.
W przechowywanym XSS kod będzie
faktycznie przechowywany w bazie danych lub
na stronie.
Dlatego za każdym razem, gdy jakaś osoba uruchomi tę
stronę, zobaczy Twój kod i zostanie on wykonany.
Dzięki temu nie będziesz musiał wchodzić w interakcje z
żadnymi użytkownikami ani wysyłać im niczego.
Dlatego może to być
znacznie bardziej niebezpieczne niż odbicie XSS.
Więc spójrzmy na to.
Teraz kliknąłem na XSS przechowywany tutaj po lewej stronie i masz
tę stronę.
Ta strona pozwala
tylko dodać wiadomość do systemu.
Więc zamierzam umieścić swoje imię jako Zaid.
Najpierw wykonamy normalny
test i umieścimy na przykład treść wiadomości.
A potem zamierzam wpisać się do księgi gości
i widać, że Zaid dodał wiadomość
o nazwie „treść wiadomości”.
Więc jeśli pójdziesz tutaj i na inną misję,
to jest
to inna misja w innym miejscu.
A jeśli wejdziemy do sklepu
XSS, zobaczymy, że są tam dwa wpisy.
Tak więc wpisy są ładowane
z bazy danych i zawierają wpisy w tej bazie danych.
Więc jeśli uda nam się wstrzyknąć
tutaj kod, to każda osoba, która uruchomi
tę stronę, kod
uruchomi ją nawet bez konieczności wysyłania tej osobie czegokolwiek.
Więc spróbujmy wstrzyknąć coś tutaj.
Więc wpiszmy moje imię jako
Zaid, a ja spróbuję wpisać tutaj mój kod.
Więc spróbuję wstrzyknąć do
wiadomości i umieszczę ją jako "skrypt".
Użyję dokładnie tego samego kodu testowego,
którego użyliśmy w poprzednim filmie, tylko
wiadomość z napisem XSS.
Znowu bardzo
prosty kod, ale służy do celów tego filmu.
I powiemy "alert",
"XSS" i
spróbuję wpisać się do księgi gości.
I jak teraz widzimy, mam tutaj
XSS, ale prawdziwa magia dzieje się, gdy normalna osoba - więc
najpierw chodźmy
do domu i załóżmy, że to tylko
normalna strona internetowa, a ludzie po prostu
ją przeglądają, a kiedy już trafisz do
księgi gości, kod JavaScript zostanie wykonany w
ich systemie z tej strony.
Kod pochodzi z tej
witryny i
będzie wykonywany na każdej osobie, która odwiedzi tę stronę.
Ponownie pokazujemy tutaj tylko dowód koncepcji.
W przyszłych filmach pokażemy, jak dalej wykorzystywać
tego rodzaju lukę.