XSS with QR-Code

XSS QR-Code injection

Comme vous devez normalement le savoir, il existe 3 sortes de XSS (du moins celles connues)

1. XSS réfléchi
2. DOM Based XSS
3. XSS Stocké

Aujourd'hui on va s’intéresser à la première, "XSS réfléchi"
On l'a dit "non permanente" du fait qu'elle n'est pas "stocké" dans le site contrairement à la XSS stocké.

C'est à dire que vous devrez faire exécuter un script à une victime sur le site en question pour récupérer son mot de passe peu importe la manière, on peut aussi par exemple récupérer ses données de localisations tels que son adresse IP etc...

Pour cet exemple, je vais m'attaquer à ce site:
https://www.esponce.com/

Comme vous le voyez, il est possible d'encoder/décoder des codes QR

Sans rentrer dans les détails voici une petite définition de ce qu'est un un code QR:

//beginning
Quick Response, dit "QR" est en fait une sorte de code barre en deux dimensions, on peut y lire l'information qui y sont stocké.

Il nous donne la possibilité d'envoyer un sms, rediriger vers un site ou même bien faire un paiement!
// End


Donc après avoir vu aspect général de ce qu'est le code QR, nous allons l'utiliser tout de suite :')

Rendez vous dans la page d'encodage, on va tout simplement injecter un code javascript et l'encoder avec les caractères HTML:

• Step one:

<script>alert('XSSED by Shirobi');</script>

• Step two:

<script>alert('XSSED by Shirobi');</script>

Op là, on a plus qu'à télécharger l'image du QR-Code sur notre bureau.

On se rend ensuite dans la page réservé au décodage de celui ci, puis nous sélectionnons notre fichier précédemment encoder.

Sans parlé de la faille UPLOAD, nous obtenons ceci:

http://img15.hostingpics.net/pics/364313xssed.png




Shirobi.