解釋JavaScript安全掃描警告

URL編碼的GET輸入用戶名嚴重漏洞被設置爲「的onmouseover =提示（994492）不良=」輸入反映之間的標記元素中雙引號。

我試圖弄清楚可以用這個做什麼。我對編碼相當陌生，並且正在尋找一些提示。什麼可以被視爲惡意的用戶名輸入？輸入的代碼是否只能在客戶端PC上運行，而不在服務器上運行？

例子？解決方案？對不起，我只包括了我相信它引用的內容。鏈接到我的網站，如果它有被剝削的危險，這不是不好嗎？

<form name="loginForm" action="LoginName.asp" method="post"> 
     <fieldset> 
     <label for="username">User</label> 
     <input type="text" name="username" value=""/> 
     <label for="password">Password</label> 
     <input type="password" name="password"/> 

     </fieldset> 
    <input type="hidden" name="originalURL" value=""> 
     <input type="submit" value="Login" class="form-btn" /> 
</form>

這似乎並不像用戶名或OriginalURL並說「惡意用戶可以插入JavaScript，VBScript中的ActiveX，HTML或Flash成漏洞的應用程序，以便從他們收集的數據來欺騙用戶。一個攻擊者可以竊取會話cookie並接管賬戶，冒充用戶，也可以修改呈現給用戶的頁面內容。「

來源

2012-01-11 user1143822

請引用它正在抱怨的標記。 – 2012-01-11 18:12:20

請編輯您的問題，以添加一個鏈接到網站和/或HTML的相關部分的一個例子。 – dgvid 2012-01-11 18:14:08

@dgvid：相關標記必須在問題中，而不僅僅是鏈接。更多：http://meta.stackexchange.com/questions/118392/add-stack-overfow-faq-entry-or-similar-for-putting-code-in-the-question – 2012-01-11 18:16:54

你還沒有引用標記，但猜測我會說你的「用戶名」輸入有一個標記不完整的input標記。例如，它可能缺少關於value屬性的關閉"，並且您看到引用的文本是其後的內容。

輸入的任何代碼只能在客戶端PC上運行，而不在服務器上運行？

這完全取決於你用它做什麼。如果你將它傳遞給解釋它的其他東西（例如，一個解釋SQL的數據庫），那麼你將會以這種方式進行攻擊。這種特殊的攻擊稱爲SQL注入攻擊（article | cartoon）。

來源

2012-01-11 18:13:07

我想我加了你在找的東西對於... – user1143822 2012-01-11 18:58:48

任何可以替代您的SQL代碼（搜索SQL注入）。可能會以輸出HTML寫入屏幕的內容。您可以通過轉義輸入數據來控制兩種情況。

來源

2012-01-11 18:13:16

我已經查看過它，並且一直無法獲得正確執行的任何內容。我認爲這只是一個誤報。 – user1143822 2012-01-11 19:52:17

可能。但從不傷害到安全性可能受損的東西。 :) – 2012-01-12 02:15:31

查看交叉瞄準腳本，JavaScript注入和SQL注入一些漏洞到您的系統。

在轉發到您的服務器之前，應驗證所有用戶輸入並將其視爲不可信數據。

來源

2012-01-11 18:14:12 Jeff

我們需要更多信息才能準確評估您的漏洞。 – Jeff 2012-01-11 18:15:11

其他信息會有幫助嗎？ – user1143822 2012-01-11 19:51:32

解釋JavaScript安全掃描警告

回答

相關問題