Chèn trang web chéo

Question

Tôi đang thử nghiệm một ứng dụng web. Tôi muốn viết một tập lệnh XSS sẽ hiển thị cảnh báo "Hello".

Kịch bản đầu tiên tôi đã viết là:

<script >alert("Hello");</script > 

Nhưng không hiển thị cảnh báo "Hello". Tôi phát hiện ra rằng kịch bản XSS mà làm việc là

<SCRIPT >alert(String.fromCharCode(72,101,108,108,111,33))</SCRIPT > 

Tôi muốn biết tại sao kịch bản đầu tiên đã không làm việc.

Answer 1

Rất có thể trang web đó thay thế dấu ngoặc kép bằng các thực thể HTML hoặc cố gắng thoát chúng theo một cách khác khiến chúng không phù hợp với JavaScript. Khi sử dụng String.fromCharCode(...) bạn không phải sử dụng bất kỳ dấu ngoặc kép nào để nó hoạt động. Nó nhận được một danh sách các mã ASCII của các ký tự chuỗi và tạo ra một chuỗi trong số chúng trong thời gian chạy. Vì vậy, không cần bất kỳ trích dẫn nào.

Cách thích hợp để tránh loại XSS này là thay thế < bằng < - bằng cách đó, không thể tạo thẻ tập lệnh.

Lưu ý rằng >, " và & cũng phải được thay thế bằng các thực thể HTML tương ứng của chúng khi vệ sinh dữ liệu chứa HTML! Tuy nhiên, chỉ có < là hoàn toàn bắt buộc để đánh bại các cuộc tấn công XSS giả định không có dữ liệu không đáng tin cậy có thể được sử dụng trong các thuộc tính HTML (đó là nơi " cần phải được khử trùng)

Câu hỏi mới nhất

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 Các vấn đề liên quan

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.