•   Roland ADANDE
• 05 October 2022 | 18:19:05

Nom du Pentester:ADANDE Tobi Roland Email:rolandhack767@gmail.com Site:https://ask.gouv.bj/ Type de faille:reflected xss Le serveur lit les données directement à partir de la requête HTTP et les reflète dans la réponse HTTP. Les exploits XSS réfléchis se produisent lorsqu'un attaquant amène une victime à fournir un contenu dangereux à une application Web vulnérable, qui est ensuite renvoyé à la victime et exécuté par le navigateur Web. Le mécanisme le plus courant pour diffuser du contenu malveillant consiste à l'inclure en tant que paramètre dans une URL publiée publiquement ou envoyée directement par e-mail à la victime. Les URL construites de cette manière constituent le cœur de nombreux schémas de phishing, par lesquels un attaquant convainc une victime de visiter une URL qui fait référence à un site vulnérable. Une fois que le site a renvoyé le contenu de l'attaquant à la victime, le contenu est exécuté par le navigateur de la victime. Proof of concept 1)Aller sur https://ask.gouv.bj/ vous verrez " Posez lui vos questions" cliquer sur ici et en voulant remplir le formulaire utiliser des code javascript dans mon cas le code js que j'ai utiliser est <script>alert(1)</script> mais au niveau de l'email vous pouvez utiliser des emails jetables et une fois les formulaires bien remplir cliquer sur Envoyer Vous verrez un code java script alert apparaitre qui affiche le 1 mis dans alert () cette faille est appeler faille xss reflected