मैं XSS के बारे में पढ़ कर दिया गया है और मैं एक पाठ के साथ एक सरल रूप बना दिया है और इनपुट सबमिट करते हैं, लेकिन जब मैं उस पर <script>alert();</script> निष्पादित, कुछ नहीं होता, सर्वर है कि स्ट्रिंग हो जाता है और इतना ही है।एक्सएसएस के लिए एक इनपुट कमजोर बनाता है?
क्या मैं इसे कमजोर के लिए क्या करना होगा ?? (तो मैं सीख रहा hehe ऐसा नहीं करना चाहिए क्या)
चीयर्स।
दरअसल बस जाने सर्वर उत्पादन यह इतना है कि इनपुट स्ट्रिंग प्रभावी रूप से HTML स्रोत जो ग्राहक को लौट पाने में एम्बेडेड मिलता है।
पीएचपी उदाहरण:
<!doctype html>
<html lang="en">
<head><title>XSS test</title></head>
<body>
<form><input type="text" name="xss"><input type="submit"></form>
<p>Result: <?= $_GET['xss'] ?></p>
</body>
</html>
JSP उदाहरण:
<!doctype html>
<html lang="en">
<head><title>XSS test</title></head>
<body>
<form><input type="text" name="xss"><input type="submit"></form>
<p>Result: ${param.xss}</p>
</body>
</html>
वैकल्पिक रूप से आप इनपुट तत्वों में मूल्य पुन: प्रदर्शित कर सकते हैं, यह भी अक्सर देखा गया है कि:
<input type="text" name="xss" value="<?= $_GET['xss'] ?>">
resp।
<input type="text" name="xss" value="${param.xss}">
इस तरह "अजीब" "/><script>alert('xss')</script><br class=" की तरह हमले तार काम करते हैं क्योंकि सर्वर यह सब के बाद
<input type="text" name="xss" value=""/><script>alert('xss')</script><br class="">
के रूप में XSS की रोकथाम समाधान दूसरों htmlspecialchars() और fn:escapeXml() PHP और JSP क्रमशः के लिए के बीच में हैं प्रस्तुत करना होगा। वे <, > और "<, > और " से प्रतिस्थापित करेंगे ताकि एंडुसर इनपुट HTML स्रोत में सचमुच एम्बेडेड न हो, लेकिन इसके बजाय इसे दर्ज किया गया था।
सर्वर उत्पादन इनपुट वापस ग्राहक के लिए है।
मैंने पढ़ा "सर्वर को इनपुट को वापस क्लाइंट में आउटपुट करने के बाद।", और सोचा वाह, यह सबसे सरल, और इस सवाल का उत्तर देने वाला उत्तर है। –
आप "इंजेक्षन" चाहिए स्क्रिप्ट। तो अगर आप एक पाठ-इनपुट है, तो आप के रूप में रखना चाहिए:
" /> <script>alert();</script>
इस तरह से आप पहले मौजूदा HTML की विशेषता को बंद करने और फिर अपने कोड इंजेक्षन। विचार उद्धरण से बचने के लिए है।
वह यही नहीं पूछ रहा है। वह जानता है कि हमले को कैसे किया जाए, वह पूछ रहा है कि इनपुट कमजोर बनाता है। – 0112
तीन साधारण चीजें:
अधिक जानकारी।
क्या आप किसी भी सर्वर साइड भाषा का उपयोग कर रहे हैं? – StingyJack
.NET (लेकिन एएसपी.नेट नहीं) – vtortola