Hurmatli xavfsizlik jamoasi,

Tizimning kirish sahifasidagi returnUrl parametriga javascript:alert(1) kabi maxsus JavaScript kodini (payload) yuborib ko'rdim. Maqsadim – sayt bu kodni qaytarib (reflect qilib) brauzerda ishga tushirishini tekshirish edi.

Afsuski, so'rov 404 xatolik bilan yakunlandi va kod ishlamadi. Hujum muvaffaqiyatli chiqmagan bo'lsa-da, bu XSS zaifliklarini to'g'ri tekshirishni o'rganish yo'lida muhim qadam bo'ldi.

Zaiflik turi

Reflected XSS (Urunish)

Ishlatilgan vositalar

Curl, Burp Suite, Qo'lda kiritish (Manual Input)

Olingan saboq

Har doim ham yuborilgan kod ishlayvermaydi va har bir urinish ham real xavf bo'lavermaydi — lekin har bir shunday test sizning tajribangizni oshiradi va hushyor qilib boradi.