Patching bug xss Patching bug xss

Sebenarnya XSS termasuk bug yang gawat  namun XSS juga bug yang paling sering diremehkan. Karena berbeda dengan bug lain seperti SQL Injection yang menyerang server, bug ini tidak berpengaruh sama sekali terhadap server. XSS hanya menyerang client, yaitu pengguna web application.

bug XSS juga pernah di hargai 6juta yang terdapat di web mail terkenal yakni yahoo
menelisik ke belakan di tahun 2009 saya pernah membaca tutorial yang memanfaatkan bug ini
tepatnya: http://www.ilmuhacking.com/web-security/menjaring-password-di-klikbca-dengan-xss/comment-page-1/

ok sekarang saya coba berbagi tutorial patching bug XSS ini
 tapi kita tidak memakai web untuk di jadikan target tapi kita buat file untuk mempraktekkan nya lewat localhost

pertama setelah kita install atau jalankan program xampp atau appserv
lalu kita buat
file php dengan script berikut:
<?php
echo'<br><br><center><form method="post">
<input type="text" name="tes" size="50" /><input type="submit" name="test2" value="Search" /></form><br><br><br>';

if(isset( $_POST['test2'])){
$test=$_POST['tes'];
echo "kata yang ada cari adalah: $test ";}
?>

nah save dengan extensi php lalu jalankan
setelah itu kita masukan tester XSS yakni "><script>alert('tester by x-1n73ct')</script>
kemudian enter maka hasilnya akan keluar alert "tester by x-1n73ct"
nah ini bisa disimpulkan vuln XSS
bug ini terjadi ketika sebuah perintah yang tidak disaring oleh input
pada kasus ini perintah yang di ambil dari input test tidak disaring melainkan langsung ditampilkan dengan perintah echo
jadi cara patch nya yakni dengan menyaring nya denagn perintah htmlspecialchars() di dalam script tadi
sehingga perintah tadi menjadi

<?php
echo'<br><br><center><form method="post">
<input type="text" name="tes" size="50" /><input type="submit" name="test2" value="Search" /></form><br><br><br>';

if(isset( $_POST['test2'])){
$test=$_POST['tes'];
$test=htmlspecialchars($test);
echo "kata yang ada cari adalah: $test ";}
?>
 lalu masukan perintah tester tadi
dan silahkan lihat hasilnya ^_^

sekian dari saya

x'1n73ct