XSS查詢字符串可能嗎？

給出的URL：XSS查詢字符串可能嗎？

http://www.example.com/abc?q1=foo&q2=<USER SUPPLIED>

這是網址易受攻擊？（假設<USER SUPPLIED>未在HTML文檔中輸出）。

如果這是打印到href屬性，並且是HTML編碼的，但沒有URL或屬性編碼。攻擊者可以做什麼？

來源

2015-03-18 BanksySan

那麼它非常依賴於你的服務器端實現以及你將如何使用'q2'參數。這可能是一個興趣點，但。你能爲你的問題提供一個更真實的場景嗎？ – 2015-03-18 21:42:02

@KiaPanahi在這種情況下，它只是爲報表定義了一些參數，但是，它有一個機會，儘管它稍微有些破損，但它可能以屬性的形式回到頁面。 – BanksySan 2015-03-18 21:49:59

在這種情況下（任何可能對服務器或客戶端應用程序有任何影響的情況下，您都應該確保（盡你所知）清理並渲染任何/每個可能影響應用程序的操作數據或行爲完整性。:) – 2015-03-18 21:53:53

如果在頁面上使用「q2」值，並且它無論如何都不會被淨化（您正在使用簡單的$_GET['q2']來讀取值），它被認爲是XSS。即使它沒有打印在頁面上的任何位置，它也會創建反射的XSS。攻擊者可以插入任何東西而不是參數，如果它被運行，甚至插入到數據庫中，他可以例如捕獲你的phpmyadmin會話cookie，或者根據你的頁面如何處理這個值來做其他無害的事情。

來源

2015-03-19 14:36:50 Eda190

XSS查詢字符串可能嗎？

回答

相關問題