Top 10 Letlands-baserede softwareudviklingsvirksomheder
Læs om Letlands bedste softwareudviklingsvirksomheder og deres innovative løsninger i vores seneste artikel. Find ud af, hvordan disse teknologiledere kan hjælpe med at løfte din virksomhed.
XSS-angreb gør det muligt for angribere at indsætte scripts på klientsiden i websider, der ses af andre brugere. De vigtigste effekter af denne sårbarhed er muligheden for at udføre handlinger i den indloggede brugers kontekst og læse data i den indloggede brugers kontekst.
Det er værd at bemærke, at operationer, der udføres på vegne af offeret, kan være usynlige for offeret, da de kan finde sted i baggrunden ved hjælp af bankens API, eller angriberen kan udføre dem senere med de data, der er nødvendige for autentificering, tokens, cookies osv.
Det er en, hvor HTML/JavaScript-kode indeholdt i en hvilken som helst parameter (f.eks. GET, POST eller cookie) vises som svar.
En side med et tekstinput til at søge efter noget, der sætter parameteren ?search=foo
i slutningen af URL'en, når API'en forespørges. Efter indtastning af en sætning, hvis den ikke findes, placeres en returmeddelelse i HTML ex.
<div>Intet resultat fundet for <b>Fjols</b></div>
Vi kan prøve at sætte URL'en ind ?search=.
..
Det er, når dens udførelse aktiveres ved brug af farlige funktioner i JavaScript, såsom `eval`
eller `innerHtml`
. "Live-eksemplet" nedenfor viser et DOM XSS-angreb baseret på `innerHtml`
funktion.
Her bliver den ondsindede kode skrevet på serversiden. Vi kan f.eks. sende en kommentar med ondsindet kode til et blogindlæg, som uploades til serveren. Dens opgave er f.eks. at vente på administratorens moderering og derefter stjæle hans sessionsdata osv.
1. I tag-indholdet
`onerror=alert('XSS')`
ind i
<img src onerror="alert('XSS')" />
2. I indholdet af attributten
`" onmouseover=alert('XSS')`
ind i
<div class="" onmouseover="alert('XSS')""></div>
x onclick=alert('XSS')
ind i
<div class="x" onclick="alert('XSS')"></div>
href
ef-attributjavascript:alert('XSS')
ind i
<a href="javascript:alert('XSS')"></a>
";alert('XSS')//.
ind i
.
');alert('XSS')//.
hvor '
er et enkelt anførselstegn, i
<div onclick="change('');alert('XSS')//')">John</div>
href
attribut inde i JavaScript-protokollen);alert(1)//.
hvor %27
er et enkelt anførselstegn, i
<a href="javascript:change('');alert(1)//')">klik</a>
eval
eller Funktion
med brugerdata, der ikke er tillid til.innerHTML
, ydreHTML
, indsætAdjacentHTML
, ocument.write
. I stedet kan du bruge funktioner, der tildeler tekst direkte til disse elementer, f.eks. tekstIndhold
eller indreTekst
.location = 'javascript('XSS')'
.DOMPurify
..html
eller .svg
filer. Du kan oprette et separat domæne, hvorfra de uploadede filer vil blive serveret.Politik for indholdssikkerhed
mekanisme.Hvis du synes, at denne artikel er interessant, så følg Lukasz på Github: https://github.com/twistezo
Læs mere om det:
Strategier for at hente data i NextJS