Bug Bounty Öğrenme Serüvenim

Daha sonra "0W45pz4p" yazdığı inputa sırayla payloadlarını uygulamaya başlıyor.
GET parametresine url üzerinden payloadlarını uyguluyor.
POST parametresine ise araya girerek HTTP request message body üzerindeki değişkenlere payloadlarını uyguluyor.
Payloadların çift veya tek tırnakla başlamasının sebebi kaynak kodlarda payload uyguladığımız yerin bir attribute içinde olabilme ihtimalidir.
Payloadlarda harfler hariç bütün özel karakterlere URL encoding işlemi uyguluyor(kontrolleri atlatmak için) ve bazı payloadlarına da script tag'ından önce NULL(%00) karakter koyuyor.
Bunu yapmasının sebebini de tam olarak anlayamadım.
Script kelimesinin harflerini büyük küçük harf karışık yazmasının sebebi kontrolleri atlatmaktır.
onMouseOver ve onerror gibi attributeları kullanmasının nedeni alert fonksiyonunu tetiklemek içindir.
Fakat birkaç yazıda okuduğuma göre alert fonksiyonunun ömrünün sonuna geldiği düşünülüyor ve artık print fonksiyonu öneriliyor.
Bazı payloadlarda da alert fonksiyonu blacklist'e alınabileceği için prompt(alert'in girdi alan hali) fonksiyonunu kullanıyor.
Açıkladığım payloadlar şu şekilde:

javascript%3Aalert%281%29%3B
%3CscrIpt%3Ealert%281%29%3B%3C%2FscRipt%3E
%27%22%3CscrIpt%3Ealert%281%29%3B%3C%2FscRipt%3E
%27%22%00%3CscrIpt%3Ealert%281%29%3B%3C%2FscRipt%3E
%27%3E%3Cimg+src%3Dx+onerror%3Dprompt%28%29%3E
%27+onMouseOver%3D%27alert%281%29%3B

XSS zaafiyet tespitini ise şöyle yaptığını düşünüyorum:

%3CscrIpt%3Ealert%281%29%3B%3C%2FscRipt%3E payloadını inceleyecek olursak URL decode edilmiş hali <scrIpt>alert(1);</scRipt> budur.
Kontrolleri atlatıp alert(1) fonksiyonumuz çalışmayı başarırsa karşımıza '1' uyarısı yazan bir pencere çıkar ve biz tamam'a tıklayana kadar sayfa yüklenmeye devam eder.
Bence program sayfanın yüklenme süresindeki değişimden payloadımızın başarılı olduğunu anlıyor.

blacklist = ['.png', '.jpg', '.jpeg', '.mp3', '.mp4', '.avi', '.gif', '.svg', '.pdf']

Eğer blacklist kontrolünü geçtiyse mechanize kütüphanesi ile oluşturduğu browser ile urlmizi açıyor. Daha sonra url üzerindeki formları listeliyor ve hepsine tek tek payloadları uygulamaya başlıyor. Payload listemiz şu şekilde:

payloads = ['<svg "ons>', '" onfocus="alert(1);', 'javascript:alert(1)']

Payloadlarımız herhangi bir encode işlemine veya filtreleme işlemine uğramadan response içinde gözüküyorsa XSS zaafiyetinin varlığı olasıdır. Programımız da bunu kontrol ediyor ve response içinde payloadımızı bulursa "XSS found" mesajını ekrana basıyor.

2)---------------------------------------------------------------------------------------------------
İkinci olarak xssFinder toolunu analiz edeceğim. "http://127.0.0.1:9090/xss3.php?username=" adresine tarama yapacağım. Programımız öncelikle sistemdeki tüm linkleri Crawl ediyor. Crawl ederken dışarıya yönlendiren linkleri de crawl etmesin diye host tabanlı crawling işlemi uyguluyor. Sonra linklerdeki formları buluyor. Bunu yaparken simple_html_dom kütüphanesini kullanıyor.

Bu toolumuz diğerlerinden biraz farklı çalışıyor. Payload aramak yerine XSS saldırılarında kullanılan kritik karakterleri arıyor. Bu kritik karakterler filtrelenmemiş işe yüksek ihtimal XSS zaafiyeti vardır prensibini izliyor. Bu kritik karakterler şu şekilde:

$chars = ["'", '"', "<", ">"];

Bu karakterlerinden sayfa içinde bir sürü bulunabileceği için tararken karakterlere ön ek ekliyor. Böylece response kontrolü yaparken karakteri kendisinin gönderdiğini anlayacak. Daha sonra saldırıya başlıyor ve tüm inputlara payloadını yerleştirerek istekte bulunuyor. Response içerisinde analiz yaparak hangi karakterlerin encode edilip edilmediğine bakıyor. Eğer bizim kritik karakterlerimizden biri veya birileri encode edilmemiş ise XSS vulnerable olduğuna karar veriyor.

3)---------------------------------------------------------------------------------------------------
Üçüncü olarak XssScaner toolunu analiz edeceğim. "http://127.0.0.1:9090/xss3.php?username=" adresine tarama yapacağım. Programımız öncelikle girdiğimiz url'ye crawling ediyor ve 1. incelememizdeki gibi blacklist metodu ile yasaklı uzantılar ile bitip bitmediğini kontrol ediyor. Black list'imiz şöyle:

paichu=['.css','.js?','.gif','.jpg','.png','.swf']

Bu programımızın farkı ise input aramıyor ve tüm saldırıyı URL üzerinden yapıyor. URL kontrolünü tamamladıktan sonra payloadları denemeye başlıyor ve response içinde encode işlemine uğramayan bir payload bulursa url ve işe yarayan payloadı ekrana yazdırıyor. Payloadlar şu şekilde:

xsscases=['"/>"><body onload=alert(1)>','alert(1)','>\'>\"><script>window.a==1?1:alert(a=1)</script>','--></script><script>window.a==1?1:alert(a=1)</script>','\';alert(1);\'','</script><script>alert(1);//']

Burp ile open redirect tespitini ise şöyle yaptım.
Test yapacağım site üzerinde burp web browseri ile dolaşıyorum ve daha sonra Target->Site map sekmesine tıklıyorum ve status code'a filtering işlemi uyguluyorum.
3xx olan URL'ler önümde sıralanıyor ve intruder'a gönderiyorum.
Payloadlarımı yerleştiriyorum, encoding'i kapatıyorum ve follow redirections ayarını always yapıyorum.
Response'ları incelediğimde redirect işlemi başarılı olmuş ise open redirection zaafiyeti var tanısını koyuyorum