Contoh Script Bug XSS dan Tutorial Patch Bug XSS



Naufal Ardhani - Di postingan sebelumnya saya sudah membuat artikel Pengertian XSS bagi yang belom tau apa itu XSS silahkan dibaca, Bagi seorang Web Developer sangat penting mengetahui hal seperti ini supaya keamanan websitenya terjaga dan kali ini saya akan memberikan contoh script  bagaimana terjadinya bug XSS dan cara mengatasi bug XSS.

Payload :

  • <script>alert(1)</script>
  • <script>alert("XSS!!!")</script>


Bagaimana XSS bisa terjadi? cek dibawah


Sebelum lanjut membaca siapkan terlebih dahulu localhost anda untuk menjalankan script XSS,

<?php 
   $url = $_GET["kata"]; 
   echo $url; 
?>


Script diatas merupakan script XSS yang terjadi pada url dan ini sangat simple tidak ada HTML ataupun CSS karena hanya untuk belajar saja hehe.


Simpan script xss dengan nama xss.php dan silahkan hidupkan localhost anda lalu buka script xss,

  • http://localhost:8888/xss.php (dihalaman ini kosong hehe)
  • dan untuk memunculkan text pada halaman tersebut anda tinggal tambahkan parameter ?kata= dan isinya, contoh : http://localhost:8888/xss.php?kata=naufalardhani.com ganti text berwarna biru dengan payload.
Nah itu adalah 2 hasil payload yang saya gunakan.

Lanjut kita bahas cara menambal bug XSS.

  • Tambahkan htmlspecialchars() seperti dibawah agar html tidak dapat berjalan dengan sempurna.
<?php 
   $url = $_GET["kata"]; 
   echo htmlspecialchars($url); 
?>


  • Lalu kita save dan jalankan.

Berhasil! script html sudah tidak berjalan karena sudah di filter dengan htmlspecialchars().


Terimakasih telah membaca Contoh Script Bug XSS dan Tutorial Patch Bug XSS di blog saya, semoga bermanfaat :)

Jika ada yang tidak dipahami silahkan tanya saja di kolom komentar.

6 komentar:

  1. Nambalnya ternyata cukup mudah

    BalasHapus
  2. pakai htmlentities() lebih baik sih filternya

    BalasHapus
  3. Untuk belajar bughunter syarat nya harus mempelajari apa dulu, oh iya gan boleh minta no wa,ig,fb ?

    BalasHapus
  4. cara jalanin localhost itu bagaimana?

    BalasHapus
    Balasan
    1. kalau saya sih pakai php, sebelumnya udah install php belum? kalau belum install dulu deh phpnya, abis itu untuk menjalankan localhost dengan php ketik "php -S localhost:port", untuk tulisan port silahkan diganti dengan nomor berapapun tapi harus 4 digit.

      Hapus