Bağlamı Kıran Tırnak

Altay Kargo'nun takip portalında nöbettesin. Web güvenlik duvarı kaydı, 24 Eylül sabahı tek bir IP'den gelen alışılmadık bir arama dizisi gösteriyor: önce etiket denemeleri, sonra tırnak denemeleri, en sonda olay işleyicili yükler. Bazı istekler engellendi, bazıları geçti.

Ekip sana dört belge bıraktı: güvenlik duvarı kaydı, arama sayfasının kaynak kodu, yankı testinin çıktıları ve yanıt başlıkları. Belgeler birbirine bağlı. Koddaki bir satır, kayıttaki bir isteğin neden işe yaradığını açıklar.

Soruları yalnız bu belgelerden yanıtlarsın. Modülde öğrendiğin kök neden burada da geçerli: veri ile kod aynı dizgede birleşiyor. Bu kez yorumlayıcı tarayıcı. Yansıyan siteler arası betik çalıştırmada (XSS) yük istekle gelir ve aynı yanıtta sayfaya geri basılır. Aynı yük metin, öznitelik ve betik bağlamında farklı davranır; her bağlamdan çıkmak için başka bir karakter gerekir.

Hiçbir adrese bağlanman ya da yük çalıştırman gerekmiyor. Görevin kayıtları ve kodu okuyup doğru satırı, doğru bağlamı ve doğru değeri bulmak, sonra savunmayı adlandırmak.