Dolda fältmanipuleringshackar i webbapplikationer - dummies

Några webbplatser och program inbäddar dolda fält inom webbsidor för att hacka och passera Ange information mellan webbservern och webbläsaren. Dolda fält representeras i ett webbformulär som.

På grund av dålig kodningspraxis innehåller dolda fält ofta konfidentiell information (t.ex. produktpriser på en e-handelsplats) som endast ska lagras i en backend-databas. Användare ska inte se dolda fält - därav namnet - men den nyfikna angriparen kan upptäcka och utnyttja dem med följande steg:

1. Om du vill se källkoden i Internet Explorer väljer du Sid → Visa källa. I Firefox väljer du Visa → Sidkälla.

2. Ändra informationen som lagrats i dessa fält.

   Till exempel kan en skadlig användare ändra priset från $ 100 till $ 10.

3. Återställ sidan tillbaka till servern.

   Med detta steg kan angriparen få otillräckliga vinster, till exempel ett lägre pris på ett webbköp.

Använda dolda fält för autentisering (inloggning) mekanismer kan vara särskilt farliga. Du kan komma över en multifactor-autentiseringsinbrottslåsprocess som bygger på ett dolt fält för att spåra hur många gånger användaren försökte logga in. Denna variabel kan återställas till noll för varje inloggningsförsök och därigenom underlätta en skriptordbok eller brute-force inloggningsattack.

Flera verktyg, som webbproxy (som följer med webinspect) eller Paros Proxy, kan enkelt manipulera dolda fält.

Om du stöter på dolda fält kan du försöka manipulera dem för att se vad som kan göras. Så enkelt är det.