Soal Web Pentest (2)

Apa tujuan dari serangan XSS?

• Mengubah konfigurasi server

• Menghapus file sistem

• Menyisipkan skrip berbahaya ke halaman web

• Menginstal malware ke server

Reflected XSS bekerja ketika

• Skrip langsung ditampilkan kembali dalam respons HTTP

• Skrip disimpan di database

• Browser mendeteksi phishing

• Server memblokir user

Stored XSS adalah ketika skrip

• Dikirim melalui email

• Disimpan di server dan ditampilkan ke pengguna lain

• Dikirim via DNS

• Disembunyikan dalam gambar

DOM-Based XSS terjadi di

• Server

• Sistem operasi

• Database

• Sisi klien melalui DOM

Bahaya dari XSS termasuk

• Peningkatan bandwidth

• Menghapus CSS

• Pencurian cookie

• Melambatkan jaringan

Payload XSS yang umum digunakan

• <input>alert(1)</input>

• <style>alert()</style>

• <img>

• <script>alert(1)</script>

Payload XSS alternatif jika <script> difilter ...

• <img src=x onerror=alert(1)>

• <div>alert(1)</div>

• <meta>alert(1)</meta>

• <input>alert(1)</input>

Tujuan eksploitasi XSS adalah

• Mempercepat akses

• Mengeksekusi skrip di browser korban

• Mengganti tema website

• Memperbesar gambar

Proteksi XSS yang efektif di sisi server adalah

• Menambahkan firewall

• Melakukan sanitasi input pengguna

• Memblokir JavaScript

• Menyembunyikan URL

Reflected XSS dapat diuji dengan

• Memasukkan input ke URL dan melihat output di halaman

• Menyimpan data di database

• Mengedit source code

• Mengganti domain