# Niveau "Low"

Le challenge se présence ici sous la forme d'un guestbook permettant de laisser un message visible par tous les utilisateurs :

![](https://1502624390-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-LXA-aPG-dBFXBTzP1DC%2F-Ltyp4a3rUfy0b6Gci3Z%2F-LtypK-2msvTQ-ywbhgJ%2F6ab2ac37de99102a462805cac7b612ee.png?alt=media\&token=a749dc46-e06d-4303-a5f0-4872edf7d723)

Deux champs sont proposés ici. Un premier test va me permettre de mieux cerner le fonctionnement de l'application :

![](https://1502624390-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-LXA-aPG-dBFXBTzP1DC%2F-Ltyp4a3rUfy0b6Gci3Z%2F-LtypkJhYdAvSeC6i6kJ%2F95c1c1c95928f8fd821ca02b139e5e9e.png?alt=media\&token=6f3642fb-d672-4a66-8f80-8e0ff880f065)

Les deux champs sont présents au niveau de l'affichage du message. De plus, les longueurs des champs sont respectivement limitées à 15 et 50 caractères, mais un second test m'indique que cette limitation n'est pas renforcée côté back (la console de dév ou Burp peut aider à supprimer cette limitation) :

![](https://1502624390-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-LXA-aPG-dBFXBTzP1DC%2F-Ltyp4a3rUfy0b6Gci3Z%2F-LtyqJol5EIzXBc_rpr9%2Fa6a5dc14827e194802bb07ca976d740f.png?alt=media\&token=c7514a35-a245-473a-87f7-88d2857a7145)

J'effectue un essai d'injection de scripts :

![](https://1502624390-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-LXA-aPG-dBFXBTzP1DC%2F-LtyqMEJMIScQXB5hfZU%2F-Ltyr9ovntNr1XO-GE0_%2F482e22a915c4851cd87a87f74ba0ebfb.png?alt=media\&token=8204d019-05ae-473f-a804-bcd8d6adafb9)

Les deux champs sont vulnérables à une injection XSS. Une payload simple à base d'image va me  permettre de récupérer le jeton de la victime :

![](https://1502624390-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-LXA-aPG-dBFXBTzP1DC%2F-LtyrFfFyD1Ip5UhTZmO%2F-LtysJF6v69MdseZbnk3%2F0f21d4f70df502302de84738f70e8df9.png?alt=media\&token=2b3ddb5b-4ba5-4c47-a345-5f548e8d55d6)

Etant donné que la faille XSS est de type stockée, chaque utilisateur visitant la page va déclencher la payload (dont moi-même :rofl:) :

![](https://1502624390-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-LXA-aPG-dBFXBTzP1DC%2F-LtyrFfFyD1Ip5UhTZmO%2F-LtysceTGXgFP_LZkiFb%2F7c0ebe3e5065021fb7e0bb496625a85a.png?alt=media\&token=585f8311-b442-45fd-9b81-dbc925082e27)
