l'altra scatola

L o scopo di MPG HUB è quello di supportare colleghi del settore selezionando e raccogliendo in un unico luogo tutte le informazioni più interessanti su tematiche importanti e delicate, come può essere la protezione dei dati aziendali.

Descrizione del pacchetto XSSer Cross Site "Scripter" (noto anche come XSSer) è un -framework- automatico per rilevare, sfruttare e segnalare le vulnerabilità XSS nelle applicazioni basate sul web.  Contiene diverse opzioni per provare a bypassare determinati filtri e varie tecniche speciali di iniezione di codice Strumenti inclusi nel pacchetto xsser xsser - Framework di test XSS root @ kali: ~ # xsser -h Utilizzo: xsser [OPZIONI] [--all <url> | -u <url> | -i <file> | -d <dork> (opzioni) | -l] [-g <get> | -p <post> | -c <crawl> (opzioni)] [Request (s)] [Checker (s)] [Vector (s)] [Anti-antiXSS / IDS] [Bypasser (s)] [Tecniche] [Iniezioni finali] [Rapporti] {Varie} Cross Site "Scripter" è un -framework- automatico per rilevare, sfruttare e segnalare le vulnerabilità XSS nelle applicazioni basate sul web. Opzioni:   --version mostra il numero di versione del programma e esce   -h, --help mostra questo messaggio di aiuto ed esce

Lo scripting  XSS si verifica quando un'applicazione riceve i dati in una richiesta HTTP e include tali dati nella risposta immediata in modo non sicuro. Supponiamo che un sito web abbia una funzione di ricerca che riceve il termine di ricerca fornito dall'utente in un parametro URL: https://insecure-website.com/search?term=gift L'applicazione riproduce il termine di ricerca fornito nella risposta a questo URL: <p>You searched for: gift</p> Supponendo che l'applicazione non esegua nessun'altra elaborazione dei dati, un utente malintenzionato può costruire un attacco come questo: https://insecure-website.com/status?message=<script>/*+Bad+stuff+here...+*/</script> Questo URL produce la seguente risposta: <p>You searched for: <script>/* Bad stuff here... */</script></p> Se un altro utente dell'applicazione richiede l'URL dell'aggressore, lo script fornito dall'aggressore verrà eseguito nel browser dell'