Questa descrizione è un po 'fuorviante nel modo in cui è formulata. La pagina fornita dal server quando qualcuno lo richiede è inalterata. Invece, un attacco XSS sfrutta una debolezza in una pagina che include una variabile presentata in una richiesta per presentarsi in forma grezza nella risposta. La pagina riflette solo ciò che è stato inviato in quella richiesta ... ma il contenuto di quella richiesta potrebbe contenere caratteri che escono dal normale contenuto di testo e introdurre contenuti HTML o javascript che lo sviluppatore non intendeva.
Ecco un breve esempio. Supponiamo che tu abbia una sorta di linguaggio dei template creato per produrre una pagina HTML (come PHP, ASP, CGI o uno script Velocity o Freemarker). Prende la seguente pagina e sostituisce "<? = $ Nome? >" con il valore senza escape del parametro di query "nome".
<html>
<head><title>Example</title></head>
<body>Hi, <?=$name?></body>
</html>
Qualcuno chiama la pagina con il seguente URL:
http://example.com/unsafepage?name=Rumplestiltskin
dovrebbe aspettare di vedere questo messaggio:
Hi, Rumplestiltskin
Chiamando la stessa pagina con qualcosa di più dannoso può essere utilizzato per modificare la pagina o l'esperienza utente sostanzialmente.
http://example.com/unsafepage?name=Rumplestiltskin<script>alert('Boo!')</script>
Invece di limitarsi a dire: "Ciao, Rumplestiltskin", questo URL potrebbe anche causare la pagina per pop-up un messaggio di avviso che dice: "Boo!". Questo è, ovviamente, un esempio semplicistico. Uno potrebbe fornire uno script sofisticato che cattura le battute o chiede un nome e una password da verificare, o cancella lo schermo e riscrive interamente la pagina con contenuti shock. Sembrerebbe ancora che provenga da example.com, perché la pagina stessa ha funzionato, ma il CONTENT viene fornito da qualche parte nella richiesta e viene semplicemente rispecchiato come parte della pagina.
Quindi, se la pagina sta solo restituendo il contenuto fornito dalla persona che lo richiede e richiede questa pagina, allora come fa un hacker a infettare la TUA richiesta? Di solito, questo si ottiene fornendo un collegamento, su una pagina Web o inviato via e-mail, o in una richiesta abbreviata dell'URL, quindi è difficile vedere il pasticcio nell'URL.
<a href="http://example.com?name=<script>alert('Malicious content')</script>">
Click Me!
</a>
Nulla sul server è mai "infetto".XSS è solo un trucco per far sembrare che le cose provengano da un server quando la pagina di quel server è nota per ripetere ciò che è stato inviato.
possibile duplicato di [? Che cosa è Croce Script sito Inclusione (XSSI modificando)] (http://stackoverflow.com/questions/8028511/what-is- cross-site-script-inclusion-xssi) –