STORED XSS · 15–20 МИН

Комментарий,
который стал кодом

Сохраните HTML в комментарии. Откройте его от имени читателя и проследите, как JavaScript отправляет учебную cookie на webhook.

01
Сохраните комментарий
Вставьте пример и отправьте его в хранилище. Пока это всего лишь строка.
02
Откройте страницу жертвы
Новый запрос получит сохранённый комментарий. Если вывести его как HTML, браузер выполнит обработчик onerror.
03
Посмотрите тело запроса
Webhook покажет именно то, что код прочитал через document.cookie и отправил в теле HTTP-запроса.

Почему это stored XSS

Комментарий хранится на сервере. Жертва не вставляет код вручную: достаточно открыть страницу, которая небезопасно выводит чужие данные.

Использовать свой HTTPS-webhook

В примере замените адрес получателя на свой HTTPS-webhook и добавьте mode: 'no-cors' в параметры fetch. Тело запроса появится в журнале вашего сервиса; читать его ответ не требуется.

По умолчанию используется webhook этой комнаты. Встроенный журнал показывает только запросы к нему.

Сравните две защиты

HttpOnly закрывает чтение cookie из JavaScript, но не устраняет XSS. В настоящем приложении код всё ещё может действовать от имени жертвы.

Экранирование превращает комментарий в текст: HTML виден, а обработчик не запускается.

Эта комната находится на отдельном домене. В ней нет учётной записи, сессии или данных основной платформы.

Настоящая cookie — только для этого учебного стенда

Сервер выдаёт отдельную __Host-demo_session. Пример выполняет реальный HTTP-запрос к webhook этой комнаты.

01 · АВТОР КОММЕНТАРИЯ

Оставить комментарий

Не загружен

Комментарий сохраняется только в этой комнате.

02 · ДРУГОЙ ЧИТАТЕЛЬ

Страница жертвы

Выводить комментарий как текстHTML экранируется и не становится кодомHttpOnly для учебной cookieCookie недоступна через document.cookie

После изменения защиты откройте страницу заново.

Campus Notes / комментарииОжидает открытия

Пока никто не открыл комментарий

Сначала сохраните его, затем нажмите «Открыть страницу».

03 · НАСТОЯЩИЙ HTTP WEBHOOK

Тело полученного запроса

0 запросов

Здесь появится тело POST-запроса от страницы жертвы.

POSTWebhook этой комнаты

Запросов пока нет.

Показано тело запроса. Cookie из HTTP-заголовка браузера здесь не выводится: этот заголовок отправляется автоматически даже с HttpOnly.

Начать заново

Очистить комментарий, настройки и журнал только этой комнаты.