New 0day XSS - Retarded Injection

EN: 

Hey, first lodge I often talk to sl1nk yesterday sl1nk us to share some of her little 0day us a new magnière exploit XSS, sl1nk is decidedly the largest ... Even compared to Kevin Mitnick is a joke xD

I think it's a small payload in this video with a method to pass the WAF ("> <[..]) but it is not what interests us.
Enjoy!

http://www.youtube.com/watch?v=FOxsbn8MR_w

  FR:

Hey, en première loge je parle souvent à sl1nk, hier sl1nk nous a partager à quelques uns d'entre nous sa petite 0day, une nouvelle magnière d'exploiter une XSS, sl1nk est bien décidemment le plus grand... Même le comparé à kevin mitnick c'est de la rigolade xD

à mon avis c'est un petit payload avec dans cette vidéo une méthode pour passé le WAF ("><[..]) mais c'est pas ça qui nous interesse.
Enjoy!  

http://www.youtube.com/watch?v=FOxsbn8MR_w

XSS with QR-Code

XSS QR-Code injection

Comme vous devez normalement le savoir, il existe 3 sortes de XSS (du moins celles connues)

1. XSS réfléchi
2. DOM Based XSS
3. XSS Stocké

Aujourd'hui on va s’intéresser à la première, "XSS réfléchi"
On l'a dit "non permanente" du fait qu'elle n'est pas "stocké" dans le site contrairement à la XSS stocké.

C'est à dire que vous devrez faire exécuter un script à une victime sur le site en question pour récupérer son mot de passe peu importe la manière, on peut aussi par exemple récupérer ses données de localisations tels que son adresse IP etc...

Pour cet exemple, je vais m'attaquer à ce site:
https://www.esponce.com/

Comme vous le voyez, il est possible d'encoder/décoder des codes QR

Sans rentrer dans les détails voici une petite définition de ce qu'est un un code QR:

//beginning
Quick Response, dit "QR" est en fait une sorte de code barre en deux dimensions, on peut y lire l'information qui y sont stocké.

Il nous donne la possibilité d'envoyer un sms, rediriger vers un site ou même bien faire un paiement!
// End


Donc après avoir vu aspect général de ce qu'est le code QR, nous allons l'utiliser tout de suite :')

Rendez vous dans la page d'encodage, on va tout simplement injecter un code javascript et l'encoder avec les caractères HTML:

• Step one:

<script>alert('XSSED by Shirobi');</script>

• Step two:

<script>alert('XSSED by Shirobi');</script>

Op là, on a plus qu'à télécharger l'image du QR-Code sur notre bureau.

On se rend ensuite dans la page réservé au décodage de celui ci, puis nous sélectionnons notre fichier précédemment encoder.

Sans parlé de la faille UPLOAD, nous obtenons ceci:

http://img15.hostingpics.net/pics/364313xssed.png




Shirobi.