Tôi đã hack Website Trường Đại học Y Dược - Đại học Thái Nguyên như thế nào?

TỔNG QUAN

Vào một ngày đẹp trời, cũng khá rảnh. Như mọi ngày mình đều lướt tin tức hàng ngày.

Thật tình cờ kết quả tìm kiếm đưa mình đến website của trường ĐH TRƯỜNG ĐẠI HỌC Y DƯỢC - ĐẠI HỌC THÁI NGUYÊN https://tump.edu.vn/ (Click ảnh để xem full).

website_interface

Vốn tò mò như thường lệ mình nghĩ ngay tới liệu web có lỗ hổng nào không, thử kiểm tra với ký tự <XSS>.

Kết quả trả về:

search

Không thấy gì, tiếp theo mình view source bằng tổ hợp phím Ctrl+U nhấn tiếp Ctrl+F để search ký tự <XSS>

Kết quả:

xss

Wow bộ lọc không hề mã hóa ký tự, đến đây mình chắc chắn website đã dính lỗi XSS (Cross-site scripting)

Giờ thì thực hiện biến đổi dòng code đầu vào một chút:

<script>alert("Check by MT's Blog")</script>

Ok thế là xong:

Như đã biết thì lỗi XSS chỉ xảy ra phía client, lợi dụng lỗi này mình có thể chèn có chủ ý các đoạn mã nhằm các mục đích: đánh cắp cookies, session tokens, defcace,...

Mình sử dụng đoạn code sau để deface website của trường:

<iframe width="850" height="350" src="https://github.com/mt-cybersecurity/deface" allowfullscreen></iframe>

PoC: