2.bWAPP | HTML Injection-Stored(Blog)
Bu saldırı da blog kısmına HTML kodlarını yazıyoruz. Yazdığımız bu kodlar sunucudan kullanıcılara yansıyor ve web sitesini ziyaret eden herkes bu yazıdığımız kodları görüyorlar. Bunu fake bir giriş paneli yaparak web siteye giren kullancıların hesaplarını ele geçirmek için kullanabiliriz ancak orijinal web sitenin giriş paneline ne kadar benzerse o kadar inandırıcı olur.
1. Saldırımızı seçiyoruz ve hack diyoruz.
11.Burp suit get kısmında username ve password değerlerini bize yakaladı.
10.Kullanıcı adı kısmına admin ,parola kısmına da password yazdık ve burp suitimizi çalıştırdıktan sonra submit dedik. 
2.Yan tarafta ki burp suiti kapatıyoruz ve terminali açıyoruz.
3.Blog kısmına
4.Submit diyoruz.
5.Terminal kısmında temel bilgiler olan get değerimizi, hostumuzu, kullanıcı araçlarımızı, kabul edilen dil gibi bilgileri bize gönderdi. Blog kısmında ise gönderilen tarih ve saati görmekteyiz.
6.Şimdi de fake bir kullanıcı giriş paneli oluşturarak kullanıcıların ,kullanıcı adı ve parolalarını nasıl edeceğimize bakalım. Burada not defterinde yazılı olan kullanıcı panel kodunu kopyalıyoruz. Action kısmına bilgilerin gideceği bağlantı adresini yazıyoruz. Ben burada lokal ip ve portumu yazdım. Giriş panellinin inandırıcı olması için başına bir uyarı mesajı da ekledim. Bu kodu blog kısmına yapıştırıyoruz.
7.Burada blog kısmına kodumuzu yapıştırdık.
8.Yan tarafımızda da burp suitimizi açarak off modda bekletiyoruz. Ve sonra submit diyoruz.
9.Blog kısmında kullanıcı panellimiz açılıyor.
Eğitimimizin bu bölümünü de bitirmiş olduk bir sonraki eğitimde görüşmek üzere :)
 Açığı){kind=link}
0 Yorumlar