Skjulte feltmanipuleringshack i webprogrammer - dummies

Noen nettsteder og programmer integrerer skjulte felt i nettsider for å hacke og passere angi informasjon mellom webserveren og nettleseren. Skjulte felt er representert i et webskjema som.

På grunn av dårlige kodingspraksis inneholder skjulte felt ofte konfidensiell informasjon (for eksempel produktpriser på et e-handelsnettsted) som bare skal lagres i en back-end-database. Brukere bør ikke se skjulte felt - derav navnet - men den nysgjerrige angriperen kan oppdage og utnytte dem med disse trinnene:

1. For å se kildekoden i Internet Explorer, velg Side → Vis kilde. I Firefox velger du Vis → Sidekilde.

2. Endre informasjonen som er lagret i disse feltene.

   For eksempel kan en skadelig bruker endre prisen fra $ 100 til $ 10.

3. Gjenta siden tilbake til serveren.

   Dette trinnet gjør det mulig for angriperen å få uønskede gevinster, som for eksempel en lavere pris på et nett kjøp.

Bruk av skjulte felter for autentisering (innlogging) mekanismer kan være spesielt farlige. Du kan komme over en multifaktorautentiserings inntrengersparingsprosess som er avhengig av et skjult felt for å spore hvor mange ganger brukeren forsøkte å logge inn. Denne variabelen kunne nullstilles for hvert påloggingsforsøk og dermed lette en skriptordbok eller brute-force innloggingsangrep.

Flere verktøy, som Web Proxy (som følger med webInspect) eller Paros Proxy, kan enkelt manipulere skjulte felt.

Hvis du kommer over skjulte felt, kan du prøve å manipulere dem for å se hva som kan gjøres. Det er så enkelt.