: SunShop is vulnerable to Cross Site Scripting (XSS) in the signup page. CA-200-02. Intento hacer el alert y me salta un 404 y lo siguiente The page you have requested was not found on our server. Please check the address and make sure it is correct, and try…","comment":[{"@type":"Comment","text":"Seguro habeís probado en google chrome o similar, intenta con otro navegador o directamente con algún otro vector.","datePublished":"2017-02-07T22:26:36+00:00","author":{"@type":"Person","name":"kid_goth","url":"https://underc0de.org/foro/index.php?action=profile;u=9599"},"url":"https://underc0de.org/foro/index.php?topic=31577.0#msg110842"},{"@type":"Comment","text":"Estas poniendo bien la url? se me hace raro que no exista index.php en este caso","datePublished":"2017-02-09T00:35:37+00:00","author":{"@type":"Person","name":"seth","url":"https://underc0de.org/foro/index.php?action=profile;u=38096"},"url":"https://underc0de.org/foro/index.php?topic=31577.0#msg110902"},{"@type":"Comment","text":"Seguro habeís probado en google chrome o similar, intenta con otro navegador o directamente con algún otro vector. Te comento intente con firefox y con chrome, creo que tendre que probar con opera y algun otro y verificar. Estas poniendo bien la url? se me hace raro que no exista index.php en este caso SI el url esta bien de hecho ya lo cheque muchas veces, de hecho me por eso me parece muy raro y…","datePublished":"2017-02-09T06:10:49+00:00","author":{"@type":"Person","name":"XDA","url":"https://underc0de.org/foro/index.php?action=profile;u=20875"},"url":"https://underc0de.org/foro/index.php?topic=31577.0#msg110910"},{"@type":"Comment","text":"Buenas, mira a ver que no tengas desactivado el javascript en firefix, en muchas distros viene asi por defecto. Otra cosa que te puede pasar es que el XSS sea via POST y no GET al estar en un panel de login segun nikto.","datePublished":"2017-02-09T13:20:07+00:00","author":{"@type":"Person","name":"sadfud","url":"https://underc0de.org/foro/index.php?action=profile;u=57398"},"url":"https://underc0de.org/foro/index.php?topic=31577.0#msg110917"},{"@type":"Comment","text":"Es correcto, en mi experiencia Nikto arroja falsos positivos, no queda de otra mas que probar todos..... Suerte!","datePublished":"2017-02-10T03:58:24+00:00","author":{"@type":"Person","name":"kawaxi","url":"https://underc0de.org/foro/index.php?action=profile;u=63688"},"url":"https://underc0de.org/foro/index.php?topic=31577.0#msg110954"}]}

Falso Positvo o Mala ejecución?

Iniciado por XDA, Febrero 06, 2017, 05:52:30 AM

Tema anterior - Siguiente tema

0 Miembros y 1 Visitante están viendo este tema.

Imprimir
Ir Abajo Páginas1
Acciones del Usuario
Febrero 06, 2017, 05:52:30 AM Ultima modificación: Febrero 06, 2017, 11:57:10 AM por Gabriela
Buenas noches, he estado practicando XSS en servidores de prueba, actualmente estoy probando con uno y lo he analizado con Nikto y me salta la siguiente vulnerabilidad

*index.php?action=storew&username=<script>alert( 'Vulnerable' );</script>: SunShop is vulnerable to Cross Site Scripting (XSS) in the signup page. CA-200-02.

Intento hacer el alert y me salta un 404 y lo siguiente


The page you have requested was not found on our server. Please check the address and make sure it is correct, and try again.

/index.php?action=storew&username=%3Cscript%3Ealert(%20%27test%27%20);%3C/script%3E:

Tambien he intentado poner el alert en esa forma y obviamente tampoco funciona XDD.

Mi duda es la siguiente estoy ejecutando mal la el XSS o simplemente es un falso positivo del escaner?


Gracias!!
Febrero 07, 2017, 07:26:36 PM #1
Seguro habeís probado en google chrome o similar, intenta con otro navegador o directamente con algún otro vector.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Acepta con humildad y aprecio que en la vida la muerte es inevitable y amarás ésta, adorando la muerte
Febrero 08, 2017, 09:35:37 PM #2
Estas poniendo bien la url? se me hace raro que no exista index.php en este caso
Febrero 09, 2017, 03:10:49 AM #3
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Seguro habeís probado en google chrome o similar, intenta con otro navegador o directamente con algún otro vector.

Te comento intente con firefox y con chrome, creo que tendre que probar con opera y algun otro y verificar.


You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Estas poniendo bien la url? se me hace raro que no exista index.php en este caso

SI el url esta bien de hecho ya lo cheque muchas veces, de hecho me por eso me parece muy raro ya que me genera el HTTP/1.1 404 Not Found
aun cuando sabemos que el index si existe. Puede ser un falso activo?  O cual podria ser la razon?

Gracias saludos
Febrero 09, 2017, 10:20:07 AM #4
Buenas, mira a ver que no tengas desactivado el javascript en firefix, en muchas distros viene asi por defecto.

Otra cosa que te puede pasar es que el XSS sea via POST y no GET al estar en un panel de login segun nikto.
Mi blog: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Si necesitas ayuda, no dudes en mandar MP
Febrero 10, 2017, 12:58:24 AM #5
Es correcto, en mi experiencia Nikto arroja falsos positivos, no queda de otra mas que probar todos.....


Suerte!
Imprimir
Ir Arriba Páginas1
Acciones del Usuario