#csharp
#gray_hat
#xss

#9 Gray Hat C#. Руководство для хакера по созданию и автоматизации инструментов безопасности. Cross-Site Scripting (Межсайтовый скриптинг) — XSS.

Здравствуйте, дорогие друзья.

Подобно SQL-инъекции, атаки с использованием межсайтовых сценариев (XSS) используют уязвимости в коде, которые возникают, когда программисты создают HTML для отображения в веб-браузере, используя данные, передаваемые из веб-браузера на сервер. Иногда данные, передаваемые на сервер ненадежным клиентом, например веб-браузером, могут содержать HTML-код, например JavaScript, что позволяет злоумышленнику потенциально захватить веб-сайт, путем кражи файлов cookie или перенаправления пользователей на вредоносный веб-сайт.

Подробнее: https://timcore.ru/2023/09/15/9-gray-hat-c-rukovodstvo-dlja-hakera-po-sozdaniju-i-avtomatizacii-instrumentov-bezopasnosti-cross-site-scripting-mezhsajtovyj-skripting-xss/

#bug_bounty
#xss

2023 Microsoft Office XSS

https://blog.pksecurity.io/2023/10/04/microsoft-office.html

#bug_bounty
#xss

Persistent cross-site scripting vulnerabilities in Liferay Portal

https://www.pentagrid.ch/en/blog/stored-cross-site-scripting-vulnerabilities-in-liferay-portal/

#web
#sql_injection
#xss

Безопасность веб-приложений: Типичные уязвимости и защита от них.

Здравствуйте, дорогие друзья.

Веб-приложения являются центральным элементом многих бизнес-операций, но они также могут быть уязвимы для различных атак, если не обеспечена должная защита. Среди наиболее распространенных уязвимостей стоит выделить SQL-инъекции (SQL Injection) и межсайтовый скриптинг (Cross-Site Scripting, XSS).

Подробнее: https://timcore.ru/2024/01/22/bezopasnost-veb-prilozhenij-tipichnye-ujazvimosti-i-zashhita-ot-nih/

#news
#xss

XSS-уязвимости в Joomla могли привести к выполнению произвольного кода

В популярной CMS обнаружили и исправили сразу пять уязвимостей, которые могли использоваться для выполнения произвольного кода на уязвимых сайтах.

Источник: https://xakep.ru/2024/02/26/joomla-xss/

#ethical_hacking
#vulnerability
#sql_injection
#xss

Безопасность веб-приложений: Типичные уязвимости и защита от них.

Здравствуйте, дорогие друзья.

Веб-приложения являются центральным элементом многих бизнес-операций, но они также могут быть уязвимы для различных атак, если не обеспечена должная защита. Среди наиболее распространенных уязвимостей стоит выделить SQL-инъекции (SQL Injection) и межсайтовый скриптинг (Cross-Site Scripting, XSS). Давайте обсудим эти уязвимости и рассмотрим методы их предотвращения.

Подробнее: https://timcore.ru/2024/03/13/bezopasnost-veb-prilozhenij-tipichnye-ujazvimosti-i-zashhita-ot-nih-2/

#sql
#xss
#vulnerability

Современные методы атак на веб-приложения: SQL-инъекции и XSS

В современном мире веб-приложений безопасность является одной из ключевых задач для разработчиков. Два из наиболее распространенных и опасных типов атак — это SQL-инъекции и межсайтовый скриптинг (XSS). В этой статье мы рассмотрим, что такое эти атаки, как они работают и как их можно предотвратить.

Подробнее: https://timcourse.ru/sovremennye-metody-atak-na-veb-prilozheniya-sql-inekczii-i-xss/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting
#xss

#20 Bug Bounty v.2 — Cross-Site Scripting (XSS). Reflected XSS

Здравствуйте. дорогие друзья.

Межсайтовый скриптинг (XSS) — одна из старейших и наиболее распространенных уязвимостей, которая уже некоторое время находится в списке 10 лучших уязвимостей OWASP. XSS позволяет злоумышленникам выполнять javascript-код в целевом браузере. Это может быть использовано для кражи токенов, сеансов, файлов cookie и многого другого. Существует три типа XSS: отраженные, сохраненные и основанные на DOM.

Подробнее: https://timcore.ru/2024/09/11/20-bug-bounty-v-2-cross-site-scripting-xss-reflected-xss/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting
#xss

#21 Bug Bounty v.2 — Cross-Site Scripting (XSS). Stored XSS.

Здравствуйте. дорогие друзья.

Если вы понимаете, как использовать отраженный XSS, то изучение сохраненного XSS не составит труда. Единственное различие между сохраненным XSS и отраженным XSS заключается в том, что сохраненный XSS будет где-то постоянно храниться, а отраженный XSS — нет.

Подробнее: https://timcore.ru/2024/10/07/21-bug-bounty-v-2-cross-site-scripting-xss-stored-xss/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting
#xss

#22 Bug Bounty v.2 — Cross-Site Scripting (XSS). DOM Based XSS

Здравствуйте, дорогие друзья.

Отраженный и сохраненный XSS-код возникает, когда серверный код небезопасно объединяет вводимые пользователем данные с HTTP-ответом. XSS на основе DOM выполняется полностью на стороне клиента в браузере. Это означает, что мы сможем обнаружить эти уязвимости, просмотрев исходный код javascript. Помните, что javascript выполняется в браузере, поэтому у нас есть доступ ко всему. Все, что вам нужно знать сейчас, — это некоторые базовые методы проверки кода.

Подробнее: https://timcore.ru/2024/10/07/22-bug-bounty-v-2-cross-site-scripting-xss-dom-based-xss/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#xss
#cross_site_scripting

XSS на стероидах: от алерта до полного захвата через DOM и WebSocket

Эй, пацаны и девчонки из андеграунда, сегодня мы не просто тыкаем alert() в браузер, а ломаем всё к чертям. Cross-Site Scripting (XSS) — это не игрушка, это твой билет в систему, если знать, как крутить. Я покажу, как из банальной инъекции сделать полноценный захват через DOM и WebSocket. Схема проста: найти дыру, залить payload, выжать максимум. Готов? Тогда держи терминал наготове, ща будет жарко.

Подробнее: https://timcore.ru/2025/06/06/xss-na-steroidah-ot-alerta-do-polnogo-zahvata-cherez-dom-i-websocket/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

🚨 Громкий арест в мире киберпреступности: задержан администратор хакерского форума XSS, сайт прекратил работу! 🚨

Во вторник, 22 июля, в Киеве был арестован предполагаемый администратор XSS.is — одного из старейших и самых влиятельных русскоязычных форумов для хакеров. Эта масштабная операция стала итогом многолетнего международного расследования, которое вели правоохранительные органы Украины и Франции при поддержке Европола.

Что нужно знать о форуме XSS?
Центр киберпреступности: Форум, действовавший с 2013 года, считался одной из ключевых площадок для киберпреступников со всего мира.

Незаконная деятельность: На сайте торговали вредоносным программным обеспечением, продавали доступы к взломанным системам и распространяли украденные данные, в том числе полученные с помощью программ-вымогателей.

Масштаб: Платформа насчитывала более 50 тысяч зарегистрированных пользователей и служила местом для координации атак и вербовки новых участников.

Детали операции
Расследование было начато прокуратурой Парижа еще в 2021 году. Следователям удалось получить доступ к зашифрованным перепискам участников форума, что и позволило выйти на одного из администраторов. По данным правоохранителей, подозреваемый заработал на своей деятельности не менее €7 миллионов.

После ареста администратора сайт форума XSS прекратил свою работу, что стало серьезным ударом по инфраструктуре русскоязычного киберпреступного сообщества. Расследование этого дела продолжается.

#кибербезопасность #XSS #хакеры #новости #IT #даркнет #киберпреступность #Europol

📓 Дневник хакера. XSS-охота

Сегодня был день тяжёлой артиллерии и скриптов‑добытчиков.
Погрузился с утра в XSS‑охоту, вооружённый своими кастомными тулзами:

🛠 Скрипты в бою:
• drill.sh — разведка по трём фронтам (XSS, GraphQL, Open Redirect).
• promo-xss-check.sh — точечный удар по промо‑лендингам.
• xss-cloner_v1.1.sh — поиск клонов уязвимого шаблона.
• xss-pattern-hunter_v2.sh — умный фильтр HTML‑дампов с автопоиском свежей добычи.

🔍 Что нашёл:
• Подтвердил жирную DOM‑based XSS.
• Остальные поддомены оказались чистыми по паттерну (в статике).

📸 Процесс:
1. Сначала промо сломалось по классике — payload javascript:alert() уже висел на кнопке.
2. Потом попробовал найти клонов — схема сработала, но уязвимость локализована.
3. Плюс набросал пару новых автоскриптов для ускорения следующих охот на XSS.

💣 Вывод дня:

Один точный баг лучше сотни пустых сканов.
На старом фронте всегда найдётся место для свежего payload’а, если знать, куда его сунуть.
На завтра план — либо добить headless‑чекер для динамических XSS, либо переключиться на GraphQL/IDOR.

#bugbounty #xss #pentest #дневникхакера

#bug_bounty
#xss

3,000$ Bug Bounty Rewards from Microsoft Forms: Reflected XSS Vulnerability

https://www.youtube.com/watch?v=pjbaZYEYQV8

#books
#xss

Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯

• Что такое XSS и почему это твой новый любимый вектор атаки

Cross-Site Scripting (XSS) — это уязвимость, которая позволяет злоумышленнику внедрить произвольный JavaScript-код в веб-страницу, просматриваемую другими пользователями. По сути, ты заставляешь чужой браузер выполнять твой код в контексте доверенного сайта. И да, это настолько мощно, насколько звучит.

https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xss-glava-1-vvedenie-dobro-pozhalov

#books
#xss

Книга «Все об уязвимости XSS»Глава 1: Введение — Добро пожаловать в мир XSS 🎯 • История: как XSS стал королём веб-уязвимостей

Cross-Site Scripting не появился в один момент как громкая уязвимость с патчем и CVE. Это была эволюция — от безобидных экспериментов с HTML до одной из самых опасных и распространённых веб-угроз. Чтобы понять, почему XSS до сих пор на троне, нужно вернуться назад, в те времена, когда веб был молодым, наивным и совершенно беззащитным.

https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xssglava-1-vvedenie-dobro-pozhalova

#books
#xss

Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯. Почему каждый админ боится слова <script>alert(1)</script>

Если ты когда-нибудь сидел в переговорке с админом или security-инженером и небрежно бросил фразу “я нашёл XSS, вот пруф: `<script>alert(1)</script>`”, то видел, как у человека меняется выражение лица. Это смесь паники, отрицания и внутреннего крика “опять этот пиздец”. Давай разберёмся, почему этот безобидный на первый взгляд payload вызывает такую реакцию и почему он стал символом целого класса уязвимостей.

https://vk.com/@hacker_timcore-kniga-v-ob-uyazvimosti-xss-glava-1-vvedenie-dobro-pozhalov

#blog
#xss

💣 Свою первую уязвимость я нашёл за 3 минуты. И это было эпично

Reflected XSS. Кастомный payload. Боевой пентест для реального клиента, не баг-баунти со своими рамками и политиками — чистый хардкор.

https://vk.com/@hacker_timcore-svou-pervuu-uyazvimost-ya-nashel-za-3-minuty-i-eto-bylo-epi

#blog
#books
#xss

Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀 • Reflected XSS (Отражённый): быстро, грязно, одноразово

Если бы XSS раздавали по типам личности, Reflected XSS был бы уличным гопником — дерзким, быстрым, но редко оставляет следы после драки. Это та атака, которую ты можешь провернуть за пару минут на любом полу-сыро написанном сайте, не беспокоясь о массовых заражениях или сложных цепочках. Раздел для тех, кто любит быстрые победы и легкую грязь на руках.

https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l

#blog
#books
#xss

Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. Stored XSS (Хранимый): Подарок, который продолжает дарить

Если Reflected XSS — это быстрая кража на улице, то Stored XSS — это тайник в стене сайта, который остаётся активным сутками, месяцами, а иногда даже годами, пока не сработает для кого-то важного. Хранимый XSS — это тот редкий случай, когда твоя атака превращается в массовый инструмент для захвата, шпионажа и тотального уничтожения пользовательских данных. В этом разделе разберём, почему она — самая опасная и желанная находка для любого эксплойтера.

https://vk.com/@hacker_timcore-kniga-se-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l