Temi

• 04c - Eccessiva verbosità output

🐲 Strategia di attacco

1. Si verificano i canali di output

Si nota esaminando la pagina web che viene stampata una variabile passata come parametro nell’url. Lo si può vedere anche nel codice sorgente PHP (ma è possibile vedere il codice sorgente durante l’attacco o è solo una semplificazione??).

Debolezza: riflessione dell’input.

Si prova ad inserire un codice malizioso di esempio:

<script>alert(1)</script>

Si nota che il codice inserito viene eseguito dalla pagina.