214, 11/11 회원가입  로그인  
   ezkiller
   xss 우회할 방법 없을까요??

http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_Web&no=187 [복사]


허용된 문자 < >" ( ) { } [ ] \
비 허용 문자 = / alert
[removed] : <script (뭔 짓을 하던지)>

이런데.. 도대체 스크립트가 뜨질 않네요..ㅠ 참고할 만한 사이트나 파훼법 부탁드려요
=이 안먹히니 일반적인 스크립트는 안되는거 같고.. 어떻게 해야 할까요...>>??
  Hit : 7117     Date : 2014/10/22 12:09


    
rubiya http://utf-8.jp/public/jsfuck.html 2014/10/26  
1n73ction 윗 방식은 생성자난독화 기법으로 불리우며,
NaN, Undefined, Number, Boolean, Object 등의 문자열을 조립하며 변수 및 함수명을 선언하는
방식으로 문자열처리를 하여 쿼터 등의 문자를 쓰지 않고도 XSS 코드 작성이 가능한 방법입니다.
이와 비슷한 기법으로 달러 난독화로도 불리우는 스플릿 문자 $ 를 이용한 jj encoding 이라는 난독화 기법이 존재하나 , jj encode 방식은 Operating System , Browser depended 즉 유연성 ( flexibility ) 이 떨어져 몇몇 환경에서는 실행되지 않으므로 부적절합니다. 위와 같은
생성자 [] 난독화 방식이나 META 태그에서 charset 속성 설정을 이용하여 여러가지 인코딩 방식을 통해 우회를 하는 방법이 가장 적절하겠으나 , 언어셋을 이용하여 우회하는 방식은 %3C , %3E 외에 비허용 문자인 %3D 를 포함시켜야 하기 때문에 생성자 [] 스트링을 이용한 난독화 기법만이 필터링 처리 되지 않는 가장 적절한 방식이라고 볼 수 있겠습니다
:D		 2014/10/26  
ezkiller 감사합니다..
그런데 저 난독화 방식은 html단에 삽입되어도 작동하나요??		 2014/10/27  
14   안녕하세요 해킹입문 완전초보 대딩입니다. 급질문여[5]     guswl90
 04/15 6421
13   포트스캔이 불법이었네요;;[1]     강동희
 07/27 6524
12   누나 사이트 허락맏고 해킹연습 하는대 ......[2]     lsykoh2
 01/16 6659
  xss 우회할 방법 없을까요??[3]     ezkiller
 10/22 7116
10   teleport pro 질문입니다.[1]     mookung
 09/19 7135
9   ip만으로 해킹가능한가요?[5]     clova777
 06/25 7730
8   php 우회 질문 드립니다.[4]     bigshott
 11/10 7882
7   해커 고수분들 설명좀 부탁드립니다.ㅠㅠ wpe-pro 토크온[2]     tjrqo12
 10/13 7935
6   서버시간 변경?[1]     stalaction
 10/21 8323
5   아파치 설정중 오류[2]     eunjong147
 02/06 8511
4   게시글 비밀번호 풀기.[2]     qudtn84
 03/18 8618
3   운영중인 웹사이트의 DB정보 해킹[2]     cameo305
 07/01 8822
2   웹쉘 사용법좀[3]     웹해킹
 12/30 15123
1   귀신 사이트[2]     h@cking2013
 05/31 15940
[1].. 11

Copyright 1999-2024 Zeroboard / skin by Hackerschool.org / Secure Patch by Hackerschool.org