Problema Hackerare un mio sito di prova

[piesal]

Salve a tutti, sono nuovo e piuttosto disperato.
Mi sto affacciando all'hacking per merito di un lavoro di tesi, ma non riesco nell'impresa di creare qualche xss neanche su un "mio" sito di prova!!
Vi lascio il link di un sito di una chat in asp e ajax. (

Perfavore, Entra oppure Registrati per vedere i Link!

)
Mi basterebbe che funzionasse anche la più insignificante istruzione xss (<script>alert("XSS")</script>)
Il primo campo per l'inserimento dell'utente è vulnerabile, ma i messaggi della chat mi sembra di no!
Ho già cambiato l'istruzione all'interno di messaggio.asp: "messaggio = Server.HTMLEncode(Request.Form("messaggio"))" in "messaggio = Request.Form("messaggio")", e sul database ora viene memorizzato il messaggio inserito senza manomissioni.
Ma quando i messaggi dal database vengono visualizzati a video, compaiono innanzitutto come una riga bianca (non vengono visualizzati affatto) ma non emettono l'effetto sperato (alert, ecc...)
C'e' di più, perchè se invece di eseguire default.asp che richiama poi chat.asp, eseguo direttamente ajax.asp allora alla visualizzazione degli stessi messaggi di prima, gli "effetti" (alert, ecc..) si vedono!!!
Qualcuno sa spiegarmi il motivo?
Ringrazio anticipatamente chiunque volesse darmi una mano! il sito di per se è semplicissimo da capire!!!

 

[System32]

Qualcuno sa spiegarmi il motivo?

Ovvio, "messaggio = Request.Form("messaggio")" è sbagliato : Come pretendi che funzioni se modifichi una stringa in un'altra sbagliata ? Per "violare" una chat, dovresti interloquire con il creatore, perchè le chat non sono defaccibili con alcuna injection, a meno che non siano fatte con i piedi.

 

[piesal]

Ovvio, "messaggio = Request.Form("messaggio")" è sbagliato : Come pretendi che funzioni se modifichi una stringa in un'altra sbagliata ? Per "violare" una chat, dovresti interloquire con il creatore, perchè le chat non sono defaccibili con alcuna injection, a meno che non siano fatte con i piedi.

Innanzitutto grazie per l'interessamento e per la risposta.
L'istruzione che hai citato, mi ha permesso di registrare nel database la stringa inserita nella chat senza modifiche, e in effetti controllando il database ho l'istruzione XSS originale.
Nonostante quello che dica dimostri la mia ignoranza in materia, mi aspetterei che la successiva visualizzazione dell'istruzione presente nel database ne attivasse l'esecuzione(es:<script>alert("XSS")</script> dovrebbe attivare un alert, ecc..).
In effetti se eseguo singolarmente ajax.asp ciò avviene, ma da chat.asp no. Chat.asp ha al suo interno delle istruzioni javascript che effettuano una chiamata tramite XMLHttpRequest a ajax.asp e caricano la risposta in un <div..> contenuto appunto in chat.asp.

Ho cercato di dare una descrizione molto sommaria al programma, ma andando al link riportato vedrai che è veramente piccolo e semplice...

Il mio problema è modificare il programma originale per fare in modo che funzioni qualche injection.

Ringrazio nuovamente e rimango in attesa di risposte

 

[System32]

Innanzitutto grazie per l'interessamento e per la risposta.
L'istruzione che hai citato, mi ha permesso di registrare nel database la stringa inserita nella chat senza modifiche, e in effetti controllando il database ho l'istruzione XSS originale.

Giustissimo, però come hai detto tu ti da problemi nel visualizzare i messaggi. Fammi capire una cosa : tu vuoi provare delle injection su una chat che è tua ( e che quindi puoi modificare come vuoi ), oppure su una chat non tua ?

 

[piesal]

Giustissimo, però come hai detto tu ti da problemi nel visualizzare i messaggi. Fammi capire una cosa : tu vuoi provare delle injection su una chat che è tua ( e che quindi puoi modificare come vuoi ), oppure su una chat non tua ?

Una chat mia, mi serve come esempio di sito vulnerabile per far vedere cosa posso fare con tali vulnerabilità...e poi magari come renderlo sicuro.
Ma il mio problema è far funzionare il primo script !!!
Il "mio" sito l'ho preso da questo link:

Perfavore, Entra oppure Registrati per vedere i Link!

spero sia visualizzabile...

ringrazio nuovamente!

 

[System32]

L'ASP è un linguaggio sicuro, come il PHP. Non credo che quella chat ( se è uguale e identica a quella che c'è su quel sito ) sia defacciabile. Per quel poco che conosco di ASP, non vedo nessuna falla.

 

[piesal]

Ho provato con altre istruzioni che non contengono il tag <script>... come <a href... e con questa riesco a fare qualcosa...
Può essere lo spunto per indicarmi altri metodi di attacco?

Grazie ancora!