[kenox]

Bonjour

J'ai créer un wordpress bidon pour faire quelques teste.
Je me connecte en admin et j’essai d'afficher mes cookies, je tape dans le barre d'adresse javascript:alert(document.cookie) et la je récupère pas tout les cookies.

J'ai pas mon cookie ex :

admin%5Q1344673460%9F4eb5679099a67393jjOfa5c319456a6z

J'ai quelque chose comme cela :

wordpress_test_cookie=WP+Cookie+check; wp-settings-time-1=8904431548; popunder=yes; popundr=yes; setover18=1

[kenox]

J'ai finalement trouvé la réponse à ma question cela vient des cookies httponly.

J'aimerai bien savoir si les failles XSS sont toujours aussi dangereuse que avant si ont ne peut plus récupérer les cookies ?
Que peut t’ont faire avec une faille XSS ?

[the lsd]

Une faille XSS, ça peut aller assez loin. Tout dépend du type (persistant ou non), de l'implémentation que tu en fais, et (selon le type de XSS), de la crédulité de ta cible.

Pour le httponly, je n'ai jamais testé, mais il y a apparemment des techniques pour les récupérer. (Google, ami, tout ça tout ça)

Enjoy

The lsd

[kenox]

Moi je parle dans le cas d'une faille xss non-permanent ?
Personne aurait des liens récent pour les httponly car google il sort pas mal de truc mais souvent plus d'époque.

[leandre]

super

[the lsd]

:'( Up d'un post vieux de 13 mois, juste pour dire "super". J'vais encore passer pour le chieur de service, mais ça n'a aucun sens.
Moi qui espérait tellement des liens pour bypasser le httponly

Enjoy

The lsd