____________________ ___ ___ ________ \_ _____/\_ ___ \ / | \\_____ \ | __)_ / \ \// ~ \/ | \ | \\ \___\ Y / | \ /_______ / \______ /\___|_ /\_______ / \/ \/ \/ \/ .OR.ID ECHO-ZINE RELEASE 04 Author: the_day (Echo staff) the_day@echo.or.id | Online @ www.echo.or.id :: http://ezine.echo.or.id == XSS == BEGIN *PENGANTAR : Karena banyak permintaan di forum untuk menulis tentang XSS maka aku coba tulis tentang ezine tentang xss ini . XSS adalah suatu cara memasukan code/script HTML kedalam suatu web site dan dijalankan melalui browser di client . XSS merupakan pilihan yang menarik bagi para newbie yang tidak mempunyai shell dan sploit ,karena untuk melakukan xss hanya di butuhkan sebuah browser. Ingat XSS adalah hanya memasukan script kedalam url site target . Ada perbedaan antara XSS dengan Script injetion . Xss hasilnya hanya bisa diliat secara temporary beda dengan script injection yang full merubahnya sama seperti kita mendapatkan root dan merubah halaman index nya. *Script yang bisa digunakan untuk XSS adalah -> HTML -> JavaScript -> VBScript -> Active X -> Flash Disini aku akan coba menjelaskan yang mengunakan code Javascript. Langsung aja ke permasalahanya , disini selain menggunakan Javascript aku juga menggunakan file yang ada di cgi *.cgi untuk di xss ,karena banyak dari file2 cgi yang bisa di xss. Pernah mungkin dari kalian membuka suatu web dan ada bacaan " 404 - data.php Not Found " dari sini kita tau bahwa ada file dari cgi yang menggunakannya untuk response apabila tidak ada file di dalam server nya. untuk contoh jelasnya alamat web yang aktif www.victim.com/cgi-bin/program.cgi?page=downloads.html bagaimana kalau kita ganti alamat diatas menjadi www.victim.com/cgi-bin/program.cgi?page=tes.html Maka akan tampil :404 - tes.html Not Found! Lalau apa yang kita bisa perbuat dengan itu , jawabnya simple aja kita tes apakah web itu bisa di xss. Caranya : www.victim.com/cgi-bin/program.cgi?page= kalau muncul kotak popup alert itu maka web tersebut bisa di xss, gampang kan. Kuncinya untuk memastikan apakah suatu web vuln terhadap xss , masukan script didalam semua form yg ada di web tsb. Selain script itu juga xss bisa digunakan untuk mengetahui password account dengan cara . Ingat xss ini bisa secara permanen atau temporary aja. selain script itu ada banyak script yg biasa digunakan :

[N4]