Ho letto su XSS e ho creato un semplice modulo con un testo e invio input, ma quando eseguo <script>alert();</script> su di esso, non succede niente, il server ottiene quella stringa e basta.Che cosa rende un input vulnerabile a XSS?
Cosa devo fare per renderlo vulnerabile ?? (poi imparerò cosa non dovrei fare)
Cheers.
Effettivamente, lascia che sia il server ad emetterlo in modo che la stringa di input venga effettivamente incorporata nell'origine HTML che viene restituita al client.
esempio PHP:
<!doctype html>
<html lang="en">
<head><title>XSS test</title></head>
<body>
<form><input type="text" name="xss"><input type="submit"></form>
<p>Result: <?= $_GET['xss'] ?></p>
</body>
</html>
JSP esempio:
<!doctype html>
<html lang="en">
<head><title>XSS test</title></head>
<body>
<form><input type="text" name="xss"><input type="submit"></form>
<p>Result: ${param.xss}</p>
</body>
</html>
In alternativa è possibile visualizzare nuovamente il valore negli elementi di input, che è anche spesso visto:
<input type="text" name="xss" value="<?= $_GET['xss'] ?>">
resp.
<input type="text" name="xss" value="${param.xss}">
questo modo "strano" stringhe di attacco come "/><script>alert('xss')</script><br class=" funzioneranno perché il server renderà dopo tutto come
<input type="text" name="xss" value=""/><script>alert('xss')</script><br class="">
soluzioni XSS di prevenzione sono tra gli altri htmlspecialchars() e fn:escapeXml() rispettivamente per PHP e JSP. Quelli sostituiranno tra gli altri <, > e " entro il <, > e " in modo che l'input dell'utente finale non finisca per essere letteralmente incorporato nella sorgente HTML, ma invece viene visualizzato appena inserito.
Fare in modo che il server restituisca l'input al client.
Ho letto "Avere il server restituisce l'input al client.", E ho pensato wow, questa è la risposta più semplice e definitiva a questa domanda. –
Si dovrebbe "inserire" lo script. Quindi, se avete un testo-input, si dovrebbe mettere nella forma:
" /> <script>alert();</script>
In questo modo è prima chiudere l'attributo del HTML esistente e poi iniettare il proprio codice. L'idea è di sfuggire alle citazioni.
Non è quello che sta chiedendo. Sa come eseguire l'attacco, chiede cosa rende vulnerabile un input. – 0112
tre semplici cose:
Altre informazioni con esempi in OWASP Top 10 for .NET developers part 2: Cross-Site Scripting (XSS).
Si sta utilizzando un linguaggio lato server? – StingyJack
.NET (ma non ASP.NET) – vtortola