HTML Injection and Reflected XSS at FILMAPIK
Hallo, disini saya Mau mengisi kegabutan saya dengan membuat Writeup yang ngga penting-penting amat cuman buat mengisi kegabutan saja , jadi saya tulis saja , dikarenakan Lagi Booring. Saya menemukan sebuah bug di website Penyedia Streaming Film dan Download Film yaitu website Filmapik , Yang belum tau Filmapik itu apa ?
Filmapik Adalah Website penyedia Steaming Film dan Download Film secara Gratis ,dan sudah terkenal dikalangan para Pendonwload Film dikarenakan yang dibagikan Filmnya Lengkap, website Filmapik menggunakan IP tidak menggunakan Domain ,karena domainnya sering di blokir oleh pemerintah.
KRONOLOGI
Saat saya sedang ingin mendownload Film Birds of Prey: And the Fantabulous Emancipation of One Harley Quinn , daripada Booring dirumah dikarenakan sekarang kita sedang mendapatkan musibah Virus COVID19 yang mudah untuk penyebarkan Virusnya, maka pemerintah menyarankan kita untuk REBAHAN di Rumah , untuk menjaga kesehatan kita sendiri, Oleh karena itu saya mengisi waktu dengan menonton FILM, OK Langsung saja . Saya Mendapatkan Bug HTML Injection dan Reflected XSS di Website Filmapik Tersebut.
Apa itu HTML Injection dan Apa Dampaknya ?
HTML Injection adalah Type Injection yang terjadi ketika pengguna dapat mengontrol titik input dan mampu menyuntikkan kode HTML sewenang-wenang ke halaman web yang rentan. Kerentanan ini dapat memiliki banyak konsekuensi, seperti pengungkapan cookie sesi pengguna yang dapat digunakan untuk menyamar sebagai korban, atau, secara umum, penyerang dapat memodifikasi konten halaman yang dilihat oleh para korban.
Serangan Session Hijacking terdiri dari eksploitasi mekanisme kontrol sesi web, yang biasanya dikelola untuk token sesi.
Exploitasi
Sebenarnya tidak ada yang spesial disini saya hanya iseng mencoba Code HTML Injection <h1>F0xBase</h1> di Form Searchnya dan Ternyata Tereksekusi.
Sesudah itu saya Langsung Mencoba Lagi Menerapkan Html Injection dan Reflected XSS dengan Payload "><img src=x onerror=prompt(document.cookie)><marquee><h1>F0xBase</h1></marquee> dan Ternyataa Injection tersebut Tereksekusi Juga.
Namun BUG tersebut tidak berpengaruh besar pada web server, karna kode-kode HTML tersebut hanya akan dikembalikan pada web browser client tersebut saja. Dan tidak berlaku pada client yang lain. Hal ini pun juga dapat kita curangi dengan membuat link yang menuju pada form yang sudah kita injeksi dengan kode HTML agar di klik orang lain.
HOW TO FIX BUG ?
Untuk mencegah BUG HTML Injection dan XSS tersebut, kita dapat menggunakan fungsi khusus “htmlspecialchars” . Contoh dan fungsi htmlspecialchars() akan mengubah<script> alert('F0xBase')</script>Menjadi<script> alert('F0xBase')</script>Perhatikan bahwa karakter khusus seperti < dan > telah diubah menjadi named entity.
Atau anda dapat menambahkan filter dengan str_replace
$input = str_replace(array(‘&’,’<’,’>’), array(‘&’,’<’,’>’), $input);Atau menggunakan Open Source Libraries mengenai pencegahan XSS attack seperti PHP AntiXSS , HTML Purifier , xssprotect , XSS HTML Filter. Web Dev dapat menggunakan salah satu dari library diatas, semuanya sama baiknya yang penting lakukan pencegahan sejak dini, sebelum website anda terkena serangan.
Mungkin itu saja yang bisa saya tulis , mohon maaf bila banyak kekurangan karena disini untuk mengisi waktu Luang saja , Terima kasih Yang sudah membaca Sampai selesai. Sehat Terus ya Buat kaliann
