CSS injection: điều tồi tệ nhất có thể xảy ra là gì?

Question

Chúng tôi đang thực hiện đánh giá bảo mật.

Có khả năng người dùng độc hại có thể tiêm CSS tùy ý vào các trang web của người dùng khác, mặc dù chúng tôi không chắc chắn nó thực sự có thể được khai thác hay không.

Tôi hiểu rằng anh ấy hoàn toàn có thể thay đổi giao diện trang, thậm chí không gây ra gì để hiển thị. Đo la tât cả hả? Điều tồi tệ nhất có thể xảy ra là gì? JavaScript có thể được nhúng trong CSS không? Anh ta có thể "ăn cắp" cookie của người dùng khác không? Và bắt đầu một phiên khác?

Answer 1

Hãy xem ở đây:

• Ultimate XSS CSS injection
• HTML/CSS Injections - Primitive Malicious Code (or, What’s the worst that could happen?)
• XSS Prevention Cheat Sheet trên OWASP

Answer 2

Yes để tất cả những điều trên. Việc tiêm CSS tùy ý có thể dẫn đến việc thực thi javascript. Xem xét:

• XSS Cheat Sheet

Điều tồi tệ nhất có thể xảy ra là phụ thuộc vào môi trường. Trong một số trường hợp ăn cắp cookie phiên và truy cập vào phiên người dùng có thể là điều tồi tệ nhất xảy ra (ví dụ: ngân hàng, giao dịch chứng khoán trực tuyến), điều này có thể không đúng với trường hợp của bạn. Các ví dụ khác về tấn công sẽ chiếm quyền kiểm soát trình duyệt, truy cập vào máy của khách hàng, v.v.