Hejsa,
Har adgang til et website med over 1000+ brugere der håndterer ordrer og kort transaktioner.
Siden benytter "OpenBizBox" og har adgang til hele admin-panelet.
Jeg kan ændre alt indenfor ordrer osv, men har tænkt mig at stjæle cookies fra folk der besøger siden.
Hvordan gør jeg dette? Kan redigere html.twig templates fra panelet, så jeg burde kunne injecte noget malicious kode her, hvordan foreslår i jeg bærer mig ad?
UPDATE:
Der er en indbygget funktion i OpenBizBox der gør at man kan slå custom javascript scripts til at blive injected på alle sider, til widgets og den slags.
Udfra det burde jeg kunne session hijacke, men det er nederen (kan allerede logge ind på alle folks accounts fra panelet). Hvordan får jeg stjålet koderne? Noget med at ændre login boksen eller noget?

kan man egentligt ikke få folks kortoplysninger denne vej? medmindre der selvfølgelig er redirect til en betalingsudbyder (popup) - men hvis det er integreret på siden? det er det jo på nogle.

(05-07-2017, 14:39)ARIGVNIN Skrev: kan man egentligt ikke få folks kortoplysninger denne vej? medmindre der selvfølgelig er redirect til en betalingsudbyder (popup) - men hvis det er integreret på siden? det er det jo på nogle.

Det bliver redirectet til Nets, så no go. Har fået en PHP backdoor på serveren, og kan se den har rimelige gode permissions. Der ligger hundredevis af andre klienter på serveren (så de benytter shared hosting).
UPDATE: De blokerer konstant min IP, har skiftet VPN-server fire gange nu..

man kan man i pricippet - under dette redirect - tilføje en form for script, som sidder og aflytter? på den ene eller den anden måde`? jeg tror altså det er sådan de tunge kreditkort hajer fisker deres kort.. mange af deres kort stammer fra butikker der vidresender til krypteret betalingshåndtør.

(05-07-2017, 16:01)ARIGVNIN Skrev: man kan man i pricippet - under dette redirect - tilføje en form for script, som sidder og aflytter? på den ene eller den anden måde`? jeg tror altså det er sådan de tunge kreditkort hajer fisker deres kort.. mange af deres kort stammer fra butikker der vidresender til krypteret betalingshåndtør.

Kunne man selvfølgelig godt, men starter med at logge indtastede passwords (alle reuser jo) :P
Derudover har jeg fundet det hosting-firma de benytter (ekstremt outdated), og sqli'et deres password request form. Ser hvad jeg kan fiske ud

---

Trendcorner.dk
TANGO DOWN TANGO DOWN :))))

(05-07-2017, 16:01)ARIGVNIN Skrev: man kan man i pricippet - under dette redirect - tilføje en form for script, som sidder og aflytter? på den ene eller den anden måde`? jeg tror altså det er sådan de tunge kreditkort hajer fisker deres kort.. mange af deres kort stammer fra butikker der vidresender til krypteret betalingshåndtør.

Jeg tror det er begrænset hvad du kan gøre, hvis der videreføres til en sikker side med SSL og HTTPOnly cookies.
Han kan jo opsætte en phishing-side i stil med betalingstjenesten, enten på siden selv eller eksternt, hvor han opfanger og logger form-data, og efterfølgende videresender disse til den rigtige side.
Det ville jo være lidt for let, hvis man bare kunne udnytte et script såsom ScanBox, men heller ikke her kommer han uden om at skulle have adgang til betalingstjenestens server.