Эта УЯЗВИМОСТЬ есть ВЕЗДЕ! || XSS на примерах

[@CaiN805]

Очень круто, что появился такой замечательный канал. На русском ютубе мало качественного контента по кибербезу. А тут не только полезная информация, но и грамотная подача, красивый голос и приятный автор канала. Идеально!

[@ЛилияМалиновская-ц4е]

И добавить нечего. Поддерживаю на 💯.

[@ostrovskiartur]

поставь яндекс браузер

[@mathnightmare]

А какие есть ещё каналы, если не секрет?)

[@user-bn4kd]

@@mathnightmareи меня пните если есть аналоги, хочется больше контента

[@triggerit2938]

Очень хорошо поставлена речь, из-за чего материал воспринимается очень легко. Спасибо!

[@dregbhy]

смотрит 1000, вникает 100, делают 10. лайк + подписка!

[@anotherpain9120]

А что делает 5?

[@yoshimitsu7723]

в тюрьме сидят. На каждую хитрую жопу найдется болт с левой резьбой

[@REDGE1337]

⁠@@yoshimitsu7723по поводу тюрьмы кста: у нас хакеры не сидят. Вообще. Им сразу предлагают на гос-во работать, так сказать предложение от которого невозможно отказаться. На странице розыска фбр половина лиц это русские хакеры, которые чиллят в Москве, ведут инсту и вообще никак не скрываются (кейс Богачева, например). Так что нет, реальнее получить срок за репост, чем за киберкрайм.

[@solisuper4559]

@@yoshimitsu7723 аыххыа

[@user-st7dot]

Огонь 🔥 Благодарю за труд, очень интересно!!!! Спасибо!!!!

[@KlGleb]

Я все ждал, когда уязвимость будет продемонстрирована на каких-нибудь реальных сайтах -- хотя бы на не очень известных, потому что заявление о том, что такие уязвимости есть на известных и крупных сайтах, слишком уж смелое. Такое возможно только в очень редких случаях, если разработчик слишком уж сильно косякнул. В то же время в ролике мало внимания уделено тому, как избежать этой уязвимости при разработке. Плюс видео -- уязвимость хорошо описана и наглядно показана суть работы, за это автору респект

[@Mulabarrr]

На реальных проектах показывать запрещено на законодательном уровне, если нет согласия. А согласия никто не даст. Если интересно посмотреть какие XSS были найдены на других сайтах - можно почитать репорты на HackerOne например

[@r1seup777]

Большинство реальных проектов уже используют защиту, если раньше ее не было, сейчас используют защиту разного рода, от нджинкса прослойку на введённые данные, так бд, так фронтовые валидации, так шаблонизаторы. Если же защиты нет, вполне вероятно, что ничего из этого не используют, либо отключили специально.

[@ВладимирАкимов-х5х]

Просто признай что заголовок кликбейт не нужно оправдываться, ты не найдешь на большинстве популярных сайтах xss,

[@sergeysemenov3674]

Единственная проблема хсс - отсутствие проверки инпута

[@kenzo1387]

да, ведь любой js framework автоматически устраняет xss уязвимости под капотом

[@leabrun]

Чудесный видеоролик! Большое спасибо!🖐

[@westleynice2088]

Спасибо за контент, отличная подача и доступный материал, добра тебе, мужик.

[@konstantinchernyaev3011]

На самом деле эта уязвимость часто встречается, но не так очевидно, как показано в видео. То, что она есть везде это не так, но то, что она есть на многих сайтах - это так. Чтобы от нее защититься нужно экранировать любой пользовательский ввод. Это часто забывается так как сначала делается, например, отображение данных, а через пол года получение или наоборот.

[@r1seup777]

Большинство сайтов с беком на питоне, просто не даст тебе исполнить код, если ты специально в коде шаблонизатора не напишешь unsafe, insecure

[@fiatex]

Очень полезная информация, благодарю 🙏

[@DarkLinux-un1pd]

чел хорошо подал материал и приятная атмосфера будем надеятся что он резко не исчезнет как некоторые

[@michaelkamko]

Бро, ты ОЧЕНЬ крут! Жги еще!)) Спасибо!!!

[@diaskappassov]

Спасибо, до этого не было конечного представления как это работает, а оказывается все так просто

[@MrTaramka]

Спасибо, всё грамотно и без понтов! :)

[@antoha9486]

Спасибо автору за труд.

[@_x_light]

Ура! 5-е видео (:

[@vitaly5209]

Потрясающе, экстремально интересно

[@GeorgiJakovlev]

Спасибо, за такой интересный контент!!!🔥🔥🔥

[@zvd1660]

Очень полезно видео, спасибо большое!

[@velocity-exe-real]

Всё просто замечательно! Я с нетерпением ждал выхода этого видео. 😊 Было бы увлекательно узнать, как именно осуществляется защита и как можно реализовать данную меру безопасности.

[@alexstepanchhuk683]

Инфа 💯 полезности! Спасибо

[@mr.hellishrunner6086]

Если честно, это было супер полезно

[@egorovsa]

да, норм видео, наконец-то хоть кто-то показал эту атаку на реальном примере.в лабе, когда не просто внедряют ЖС у себя на клиенте мол смотрите, ко ко ко. Вот реальный пример. Тут да. ушло в базу пришло из базы для всех. Получите.

[@Atikan37]

Спасибо большое за видос!

[@valentinevdokimov4002]

Очень круто, чел! Большое спасибо! Уверен, что придется пересматривать Лайк/подписка/xss в комментарии

[@nazarchik1805]

Информативно! Спасибо

[@dzhoniso]

Наконец то нашёл нормальный видос по инъекциям XSS, спасибо

[@_test_test]

годно. знал и читал про xss, но на примерах сильно интереснее

[@elevaalex1225]

Интересное видео! Автору респект. Давно интересует тема инфо безопасности и киберзащита. Но изучать всерьез все времени нет.

[@Random-gz1cu]

Этой атаке 500 лет, и от нее давно научились защищаться кто угодно, даже лохозавры со скиллбоксов и гикбрейнсов. Ща уже самый простенький сайт на юкозе или еще каком-нибудь говне такой атакой не вскроешь толком. Ща уже днем с огнем не сыщешь реальный сайт, где каждое поле ввода не экранируется. Если лохозавр на фронте это забыл запилить, то какой-нибудь пхпшник полюбас хтмлспешалчарс пихнул предусмотрительно, или наоборот.

[@dmitrygrishin6497]

В декабре пробовал, с десяток сайтов получилось набрать с такой проблемой

[@Random-gz1cu]

@@dmitrygrishin6497 И чем помогла XSS на этих сайтах? И пример сайта тогда в студию

[@AntonChokopai]

Если со скиллбоксов и гикбрейнсов идут одни лохозавры, то где тогда обучаться на КБ? Можете подсказать?

[@Random-gz1cu]

@@AntonChokopai Самому дома на ютубах и прочих ресурсах полезных, очевидно же

[@жабкаазазина-л2м]

Да не, пздц часто встречается уяза

[@Xeon83]

Продолжай в том же духе. Очень крутой видос! Сразу подписался.

[@eto_sedewl320]

не знаю, с каких времен я превратился в человека, который кроме лайков может ставить еще и дизлайки на ютубе на плохие ролики(не вам), и писать подобные комментарии, но видос просто прекрасный, плюс в добавок и полезный, поэтому желаю вам всего хорошего и советую распространить данный видеоролик для как можно больших людей, чтобы они хотя бы осознавали существование таких вещей...

[@uegamedev]

Любой сайт, который написан не третиклассником экранирует весь вводф. Так себе кликбейт, если честно.

[@dmitrygrishin6497]

К сожалению, большая часть сайтов написано людьми по развитию третьеклассниками

[@rekonigames]

Пока ещё не досмотрел. Но надеюсь он расскажет как её предотвратить. Но лайк и подписку заранее поставил

[@littlepip5986]

Парень, видос шикарный, так держать, отличное объяснение, отличный пример, подписка лайк.

[@AutomationCraft]

круто! успехов в развитии канала!

[@СергейТрубников-ж6ч]

Хорошие объяснение, ждем еще

[@mrroblick]

Можно легко обойти XSS Payload, надо просто заменить символы , на ASCII код < >

[@АлександрКиреев-б3и]

и обработчик JS проигнорирует этот код 🤡

[@mrroblick]

@@АлександрКиреев-б3и За что выставляешь клоуном? Я говорю чистую правду. И ты знал что есть переменные? Первая переменная оригинальный HTML, а другая переменная это комментарий вредный, ты у комментария просто заменяешь символы на ASCII код и всё, объединяем и готово! Javascript код работает и комментарии страшные можно посмотреть без вреда клиента.

[@sleepyNovember_project]

@@mrroblick А в HTML это (<) ASCII кодом называется? Я просто с XML/HTML не особо знаком, Видел такие штуки в XML ресурсах .apk-шек Позже, всё же планирую знакомиться с XML, это полезное знание

[@wtsdino1038]

Бро лайк подписка однозначно все развернуто и интересно подача инфы на высшем уровне успехов тебе в этом :)))

[@liorkilunov3813]

Я ждал этого момента

[@имяфамилия-т3ж1ц]

на любом сайте - который посещает более тысячи человек - эта чушь давно не актуальна. Видео сделано для набирания подписчиков - которые по названию ролика - будут думать - что здесь то их научат....

[@azimoff6936]

@@имяфамилия-т3ж1цактуальна...

[@liorkilunov3813]

​​@@имяфамилия-т3ж1ця имел ввиду что я ждал нового ролика я давно уже занимаюсь в этой области повер я знаю но всё ешё есть много xss уезвимостей я сам иногда прибигал к xss

[@mr712]

​@@имяфамилия-т3ж1цxss с мутацией будет актуально всегда, главное знать как конкретно написать код, чтоб он пройдя через защиту сайта преобразовался во вредонос

[@liorkilunov3813]

​@@имяфамилия-т3ж1ц1 я ждал ролика от этого блогера по потому что мне нравится его контент. 2 я не раз видел xss уезвимости на разных сайтах даже на сегодняшний день их можно увидеть на bug bounty. 3 в интернете есть много кликбэйтов и подобных описаний роликов на эту тему и не только так что это в полне обычное дело. 4 в ролике он отлично объяснил тему даже получше чем у некоторых блогеров с 1-2 mil на канале. 5 почти каждый ролик которые загружен на youtube сделан для набора сабов

[@Serakez]

Сейчас бы в 2024 году слушать про XSS :)

[@pavelsergeev5282]

Спасибо. Теперь бы ещё про то, что могут сделать вредоносные скрипты по-подробнее

[@UraniumAgent]

Помню даже ВКонтакте нашли уязвимость XSS (Reflected). И ещё даже в сайтах Минобороны США

[@СергейГлобус-ю3б]

да такое встречается, но еще с незапамятных времен, лет 15 назад, бесплатные движки, не будем о других багах) в базовых настройках внедряли фильтры и давольно неплохие, можно было вообще все запретить в джумле, друпале, вп был попроше) там в принципе беда была такая, да и наверное есть, давно не пользуюсь, в плагинах к движку. помню была какая то галлерея, на вп или джумлу, точно не помню, так там нехитрыми манипуляциями можно было вообще через нее получить доступ к каталогу хоста) и не важно, что расширения к не имеют отношения к мультимадиа) хоть htaccess правь) причем сама галерея его открывала без вопросов, позволяла редактировать и сохранять))

[@andrewdefould1453]

Очень хорошо обьяснил!!! Можно такое же видео по CORS и CSP?))

[@megaprefiks]

Так все хорошо объяснил.

[@user-xc7je3vn6y]

Если кто не понял то это снгшная версия чувака из сериала Кремневая Долина )) За инфу однозначно лайк + подписка )

[@snatvb]

оговорился, не серилизация или фильтрация инпута html, а санитайзинг санитайзинг так же применяется для защиты от SQL инъекций

[@rodion_koto]

Скриптуйте все, принимайте только то что нужно принимать, фильтруйте input пользователя, и будет вам счастье. Согласен что тут показаны простые примеры, еслли сайт более комплексный с большим количеством принимаемой информации, и всяких запросов, то реализовать такую защиту сложнее, в таком случае создавайте функции которые будут заниматься санитайзингом Input от пользователя, и обворачивайте в них все input. По поводу XSS в ссылке, гет параметр search в данном случае такой же принимаемый параметр который также должен быть отфильтрован. Помните правило backend - никогда не доверяй принимаемой информации.

[@rodion_koto]

Ну а если про видео, молодец, легко и понятно для всех объяснил что такое xss

[@Quadrad_s]

Так ну теперь методы сериализации и десериализации нужны. За видео лайк!

[@RicardaBloooooom]

заяц. хорошй. еще рассказывай. мне нравится.

[@neo-tap676]

очень интересное видео, но есть один нюанс

[@software9256]

Бро ток не останавливайся!🎉🎉🎉🎉🎉

[@PRO__VCE]

Да ты сокровище 🔥

[@mqtrade5743]

Наверное есть безопасные фреймворки, типа Spring для джавы. Не сталкивался с необходимостью обрабатывать инпут, поскольку фреймворк под капотом делает всю эту рутину

[@daenur548]

Вероятность встретить такое в 2024 стремиться к нулю...

[@shadymindyt]

С помощью сканера я нашел из 300сайтов на 20 сайтах xss

[@arsa946]

Вставка скрипта в комментарии - это чисто криворукость программиста и самой технологии которую он использует. Если строго задать в теге что должен быть текст при ответе сервера, то никак не вставить потом тег скрипта.

[@panzer__kapusta6459]

Проверил на проде - уволили с работы. Спасибо

[@klrl3059]

неделю назад увидел на сайте с сериалами комментарий с тегами я тогда подумал еще, неужели он пытался запустить код введя свои теги в DOM?

[@popov654]

Браузер не даст отправить данные на другой домен, насколько я знаю, благодаря Same-Origin-Policy. То есть отправка через XHR/fetch невозможна будет

[@pwsh_supremacy]

дифолтным fetch можно. тут в verbе используемом дело. при GET и POST с x-www-form, multipart, text/plain запросах malicious JS сможет прочитать респонсы

[@ckazakov]

Вроде сейчас все сайты на фреймворках пишутся, в том же laravel допустим есть защита от любого рода xss, sql injections, разве нет?

[@wusikijeronii4510]

А можно вопрос про xss. Я жто обсуждал со знакомыми и мы не пришли к какому то консенсусу. Ровно как и Вы мои знакомые топят что ответсвенность должна лежать на разработчике. Но с моей точки зрения, к примеру, фронтенд должен делать именно то для чего он предназначен - рисковать UI. Для безопасности на уровне запросов это должно фильтроваться бэкендом. На уровне контента веб сервером. Для этого и есть WAF/ModSecurity. Почему я не прав?

[@elevaalex1225]

Помню какое-то время был прям шквал подобных атак в вк. Взламывали страницы таким образом. Типа пишет тебе в вк красоткка какая-нибудь "Привет! Ты мне понравился и тд и тп. Напиши мне, только не на этот аккаунт а на другой" и ссылку кидает. Если перешел по ссылке, тебя взломали

[@IIvanTerasimov]

фига себе!!! вот как я подцепил, какую-то шляпу на телефон. Открыл ссылку...

[@DM-pu5pc]

Только не сериализация, а фильтрация. Это не одно и тоже

[@Name_of_Name_of]

По монтажу видео. Есть куда расти ) Названия терминов надо дублировать на видео. Тряска - лишнее, либо уменьшить амплитуду. Ну и много так по мелочи: звук, голос, ударения в предложениях, паузы и т.п. По контенту: делай шортсы с введением в проблематику, а в закрепе или в описании (что лучше, тк там ссылки нормально работают, в отличие от комментария; про "перевод" -- знаю, но это работает через раз, поверь). Как говорится «делайте это упражнение по утрам и Ваш 1 млн зрителей скажут спасибо».

[@PHP_Architect]

Основа основ -- любой пользовательский ввод нужно обрабатывать ВСЕГДА, раньше о такой банальщине даже речь не шла... Эх Крастер как же ты был прав, зашкварная деградация

[@skeleton_man00]

Вы случайно не снимались в ролике Азазина?

[@Mulabarrr]

Было бы славно, но нет)

[@Broroyal-xq5wq]

Брат вы сделали всё правильно надо было сперва " закрыт и сначало открыть его alert("xss") вот тогда она сработает НА вопрос какой исходной код будет "alert("xss")

[@jamesnelson-jk5nb]

Хорошая подача

[@apristen]

автору респект! однако ломать CTF лабу это всё равно что иметь отношения с искусственной женщиной 🙂в смысле на практике злоумышленник всё чаще и чаще в наше время встретит WAF, обход которого отдельная интересная тема.

[@fruhlingfest]

Случайно на канале оказался. Для нубов доходчиво рассказано про xss. Я так понимаю для защиты от них подойдут браузерные расширения , (напр. No script)?

[@Mulabarrr]

Да, отключение js на сайте отрубает возможность выполнять скрипты на вашей машине

[@gachimadness]

XSS это подтип атаки на веб-системы, а не уязвимость, ну это если быть точным

[@Serakez]

Это уязвимость если игнорируется банальный контроль типа вводимых данных на фронтенде и бэкенде.

[@Shortsnebo]

Параграф это не атрибут, а тег

[@imnotacompiler]

alert("xss")

[@maleriak412]

Спасибо пупсик ❤

[@bottakbotnolen882]

Кравчик. Лайк и подписка. Очень доступно всё объяснил и показал. Какой же java script плохой ....

[@XTANCE]

На удивление даже в 2024 такое встречается. Во-первых, всякие самописные сайтики, в частности в сфере мультиплеерных игр, админы серверов хотят показать список игроков и зачастую не очищают ники. Во-вторых, даже когда используется фреймворк, разработчику хочется покрасить часть текста (в основном бывает в сообщениях в чате), добавить смайлики и т.д., и он сам отключает очистку (скажем v-html в vue и т.д.) Да что греха таить. Однажды и у себя в коде такое словил

[@timur.shhhhh]

Не легче просто удалять лишний html, или вообще рендерить все как просто текст?

[@youniton4639]

На представленных в видео сайтах не было таких алгоритмов защиты

[@timur.shhhhh]

@@youniton4639 ну, это возможно только на сайтах, которые сделаны индусами в трущобах.

[@HastaQwert]

Если есть возможность, сними видос про Sql уязвимости

[@whalecoding]

а что можно ссделать с данной уязвимостью?))))

[@MrMiha336]

Только на 10 минуте я заметил, что ты сидишь не на диване 😮

[@nikolazzzer7087]

Очень познавательно Пожалуй Подпишусь на канал

[@rumisbadforyou9670]

> Есть везде. Понятно, чел до сих пор не научился санетизировать ввод и вывод... А на дворе шёл 2024 век...

[@Shamshurin_Alexander]

А как же 272 УК? Гипотетически, будучи доброжелателем, тебе могут сказать не спасибо, а написать, мол на тебя уже пишется заява))

[@Mulabarrr]

Ну тогда только баг баунти программы. С ними проблем никаких

[@hamsterkombat_hmstr]

alert('XSS уязвимость!');

[@alexandrd7428]

Воно ж не тільки так може використовуватись. Там багато фреймворків для роботи

[@ГробницаШу-л2г]

го видос по обходу hsts

[@Hacker919-w9b]

[@RicardaBloooooom]

таак. спустя 4 часа я сделала сайтик на гитхабе для тестов. как сделать? я очу протестить все что ты говоришь

[@VremetiyAkk]

6:00 а возможно ставить картинку ?

[@ArtsiomMalyshev]

Прикольно конечно, если у программистов мозгов меньше чем у капибары это сработает, но обычно везде висит защита

[@ТимаМираев]

как взломать пентагон c помощю калькульятора?

[@aleksandr_anp]

Попробуйте поделить на ноль, всегда помогало))

[@ДенисСаранин-м1и]

Да вот только жс не выдает сессию из куков уже лет 20

[@Артур-е1к1ю]

Вопрос: Вот зашел я на сайт с xss, созданный хакерами ...ну бывает в жизни ошибся...так вот, зашел...и что все? все мои куки от всех сайтов теперь у хакера?

[@pwsh_supremacy]

если речь идет именно про включение куков в cross-origin запросы, то для этого есть куки флаги httpOnly и sameSite

[@Timedecay]

Расскажи пожалуйста что за sso и что за практическая уязвимость перед sso, из того что я читал, выходило что это глупая теоретическая уязвимость, но не практическая

[@margsmiloo5511]

Я конечно не хейтер (шутка), но мне кажется это уже не есть проблемой. Я в вебдеве уже лет как 8, но ещё в 16м-18м годах уже было зашкварно не обрабатывать xss. 15 лет назад это может и было проблемой, но сейчас это вроде как по умолчанию на любых курсах по вебдеву (надеюсь 😅). С другой же стороны для простых пользователей - это бы хорошо знать, но я думаю что не в таком формате стоит подавать проблему xss. Но в любом случае видео очень даже😮

[@dmitryprokopiev2041]

презентер - Бро из Литвы ?

[@Biz_Buz]

Них я не понял, но очень интересно!

[@reloong]

hello world! alert("xss");