Reto XSS [muy fácil]

hace rato que no visitaba el foro y bueno me anime a algunos wargames 

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


salu2

Muy facil
Saludos de Jonax

Muy bueno el reto, en especial para los que empiezan en este mundo...



Saludos!! 

Yo lo he intentando... pero soy un paquete con xss, leere mas y seguiremos probando!

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Yo lo he intentando... pero soy un paquete con xss, leere mas y seguiremos probando!

Pues con nuestro amigo Live Http headers, y poco más, está echo en un segundo xD.

Buenas! Estoy empezando ahora con XSS... pero tengo una dudilla, ya que no sé si lo estoy haciendo correctamente: Pongo el texto en blanco, por si alguien lo lee y no quiere "pistas".

Básicamente, modifico el html del botón con un evento onClick, que ejecuta el javascript. Así es como debe hacerse?

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Yo lo he intentando... pero soy un paquete con xss, leere mas y seguiremos probando!

Una pista, cómo se manda la información para el cambio de color? y cómo puedes manipular eso? 

Suerte!!

Chevere

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Yo lo he intentando... pero soy un paquete con xss, leere mas y seguiremos probando!

Una pista, cómo se manda la información para el cambio de color? y cómo puedes manipular eso? 

Suerte!!

Buenas! si no lo entiendo mal, se manda por metodo POST, con el content color=xxxx, pero una vez tengo la cabezera modificada, la opcion "Repetir" de http live headers, no hace nada. Osea no vuelve a hacer la peticion al servidor... Seguire probando!

---

EDITO :

Ya lo tengo! Mi primer xss, me he emocionado y todo! 

Podriais hacer mas y mas complejos!

No se si voy bien, he modificado el select por input y puse "><script>alert("XSS")</script>

El script me lo acepta, pero lo de dentro no

Miyavi y rollth, editar el HTML en local no cuenta...

Un saludo.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Miyavi y rollth, editar el HTML en local no cuenta...

Un saludo.

LOOOOOOOOOOOOOL jajajajajajajajaja de eso no me di cuenta xDDDDDDDDDDD
Por cierto, este no lo resolví yo :O


Link: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Yo tampoco había puesto mi captura así que la pongo aquí:




En cuanto a Miyavi y rollth, quizás un Control + U os ayude

Un saludo.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
No se si voy bien, he modificado el select por input y puse "><script>alert("XSS")</script>

El script me lo acepta, pero lo de dentro no

Tiene la parte fundamental hecha, solo le falta algo muy importante y es, que verificamos cuando tenemos un xss?.

Saludos.

PD: No entiendo porque desde url no sirve, supongo que tendrá que ver la forma del GET/POST de http pero no estoy seguro.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
No se si voy bien, he modificado el select por input y puse "><script>alert("XSS")</script>

El script me lo acepta, pero lo de dentro no

Tiene la parte fundamental hecha, solo le falta algo muy importante y es, que verificamos cuando tenemos un xss?.

Saludos.

PD: No entiendo porque desde url no sirve, supongo que tendrá que ver la forma del GET/POST de http pero no estoy seguro.

El método es por POST, si lo estás haciendo de otra forma (editando con Firebug o parecidos) lo estás haciendo mal.

Aquí va el mío.



Saludos!
WhiZ

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Aquí va el mío.



Saludos!
WhiZ

Lo siento, no has pasado el reto, consistía en poner un alert... No, es broma, me ha gustado mucho tu idea de poner la web de Under y tu nombre en vez de un alert...

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Aquí va el mío.



Saludos!
WhiZ

Lo siento, no has pasado el reto, consistía en poner un alert... No, es broma, me ha gustado mucho tu idea de poner la web de Under y tu nombre en vez de un alert...

Jeje hace unos días pensé en proponer algo así como carta de presentación del URS_Team. No estaría mal, no?