Topp 10 Lettlandsbaserade mjukvaruutvecklingsföretag
Läs mer om Lettlands främsta mjukvaruutvecklingsföretag och deras innovativa lösningar i vår senaste artikel. Upptäck hur dessa teknikledare kan hjälpa till att lyfta ditt företag.
XSS-attacker gör det möjligt för angripare att injicera skript på klientsidan i webbsidor som visas av andra användare. De huvudsakliga effekterna av denna sårbarhet är möjligheten att utföra alla åtgärder i den inloggade användarens kontext och läsa alla data i den inloggade användarens kontext.
Det är värt att notera att operationer som utförs för offrets räkning kan vara osynliga för offret, eftersom de kan ske i bakgrunden med hjälp av bankens API, eller så kan angriparen utföra dem senare med de uppgifter som behövs för autentisering, tokens, cookies etc.
Detta är en metod där HTML/JavaScript-kod som ingår i en parameter (t.ex. GET, POST eller cookie) visas i svaret.
En sida med en textinmatning för att söka efter något som sätter parametern ?sök=foo
i slutet av URL:en när du frågar API:et. Om en fras inte hittas efter att den har angetts, placeras ett returmeddelande i HTML ex.
<div>Inget resultat hittades för <b>Foo</b></div>
Vi kan försöka lägga in URL:en ?search=.
..
Detta är när dess utförande möjliggörs genom användning av farliga funktioner i JavaScript, t.ex. `eval`
eller `innerHtml`
. "Live-exemplet" nedan visar en DOM XSS-attack baserad på `innerHtml`
funktion.
Det här är ett fall där den skadliga koden skrivs på serversidan. Vi kan t.ex. skicka en kommentar med skadlig kod till ett blogginlägg som laddas upp på servern. Dess uppgift är t.ex. att vänta på administratörens moderering och sedan stjäla hans sessionsdata osv.
1. I taggens innehåll
`onerror=alert('XSS')`
in i
<img src onerror="alert('XSS')" />
2. I innehållet i attributet
`" onmouseover=varning('XSS')`
in i
<div class="" onmouseover="alert('XSS')""></div>
x onclick=varning('XSS')
in i
<div class="x" onclick="alert('XSS')"></div>
href
ef-attributjavascript:alert('XSS')
in i
<a href="javascript:alert('XSS')"></a>
";alert('XSS')//
in i
');alert('XSS')//
där '
är ett enkelt citat, till
<div onclick="change('');alert('XSS')//')">John</div>
href
attribut i JavaScript-protokollet);alert(1)//
där %27
är ett enkelt citat, till
<a href="javascript:change('');alert(1)//')">Klicka</a>
eval
eller Funktion
med otillförlitliga användardata.innerHTML
, yttreHTML
, infogaAdjacentHTML
, ocument.skriv
. Istället kan du använda funktioner som tilldelar text direkt till dessa element, t.ex. textinnehåll
eller innerText
.location = 'javascript('XSS')'
.DOMPurify
..html
eller .svg
filer. Du kan skapa en separat domän från vilken de uppladdade filerna kommer att serveras.Innehåll-säkerhet-policy
mekanism.Om du tycker att den här artikeln är intressant kan du följa Lukasz på Github: https://github.com/twistezo
Läs mer om detta:
Strategier för datahämtning i NextJS