क्या सीएसएस स्टाइलशीट में क्रॉस साइट स्क्रिप्टिंग का उपयोग करना संभव है? उदाहरण के लिए एक संदर्भ स्टाइलशीट में दुर्भावनापूर्ण कोड होता है, तो आप यह कैसे करेंगे? मुझे पता है कि आप शैली टैग का उपयोग कर सकते हैं लेकिन स्टाइलशीट के बारे में क्या?सीएसएस स्टाइलशीट्स में क्रॉस साइट स्क्रिप्टिंग
से JavaScript निष्पादन का खतरा। एक छोटी सी विशेषता के रूप में, कुछ सीएसएस कार्यान्वयन जावास्क्रिप्ट कोड को स्टाइलशीट में एम्बेड करने की अनुमति देता है। इस लक्ष्य को प्राप्त करने के कम से कम तीन तरीके हैं: अभिव्यक्ति (...) निर्देश का उपयोग करके, जो मनमाने ढंग से जावास्क्रिप्ट कथन का मूल्यांकन करने और सीएसएस पैरामीटर के रूप में उनके मूल्य का उपयोग करने की क्षमता देता है; यूआरएल ('जावास्क्रिप्ट: ...') का उपयोग करके उन गुणों पर निर्देश जो इसका समर्थन करते हैं; या -moz-binding mechanism of Firefox जैसे ब्राउज़र-विशिष्ट विशेषताओं का आह्वान करके।
... और इसे पढ़ने के बाद, मुझे यह स्टैक ओवरफ्लो पर मिलता है। देखें Using Javascript in CSS फ़ायरफ़ॉक्स में, आप सीएसएस के माध्यम से किसी पृष्ठ में जावास्क्रिप्ट इंजेक्ट करने के लिए XBL का उपयोग कर सकते हैं। हालांकि, एक्सबीएल फ़ाइल एक ही डोमेन में रहनी चाहिए, अब bug 324253 is fixed।
सीएसएस का दुरुपयोग करने के लिए एक और दिलचस्प (हालांकि आपके प्रश्न से अलग) तरीका है। http://scarybeastsecurity.blogspot.com/2009/12/generic-cross-browser-cross-domain.html देखें। अनिवार्य रूप से, आप किसी भिन्न डोमेन से सामग्री चोरी करने के लिए सीएसएस पार्सर का दुरुपयोग करते हैं। http://localhost/mutillidae/index.php?page=set-background-color.php
बेशक, आप स्थानीय रूप से पहले env सेटअप की जरूरत है:
हाँ अपनी कॉल Xsstc, इस लेख में और अधिक पढ़:
http://www.tralfamadore.com/2008/08/xsstc-cross-site-scripting-through-css.html
OWASP Mutillidae परियोजना पृष्ठ पर एक व्यापक स्टाइल इंजेक्शन भेद्यता उदाहरण है। आप डाउनलोड कर सकते हैं और यह नीचे दिए गए लिंक से सेट अप अपने स्थानीय होस्ट पर: https://www.owasp.org/index.php/OWASP_Mutillidae_2_Project
यहाँ प्रासंगिक संकेत है: https://github.com/hyprwired/mutillidae/blob/master/includes/hints-level-1/cascading-style-sheet-injection-hint.inc
पर अभिव्यक्ति() के विकल्प की तलाश में था, मैंने उस पुस्तिका को सुना है लेकिन मुझे नहीं लगता कि यह पढ़ने योग्य है। अब मैं करता हूँ। जवाब के लिए धन्यवाद। :) तो IE8 मानक मोड में अभिव्यक्ति() का समर्थन नहीं करता है। (बस सोचा कि मैं उल्लेख करूँगा) – Johnny