GWT -xss（跨站點腳本）演示

Question

我一直在尋找演示示例xss攻擊通過GWT（V2.4.0）。我創建了一個表單（GET方法）與HTML文本區域和提交按鈕，提交它通過gwt rpc調用服務器，如果存在xss漏洞，示例測試用例//<SCRIPT SRC=http://ha.ckers.org/xss.js></SCRIPT> //不應該被過濾。但這不起作用，請問任何人請分享如何執行xss攻擊？只是概述或要點就可以。

Answer 1

看https://developers.google.com/web-toolkit/articles/security_for_gwt_applications#xss

還有就是如何使用HTML內發動攻擊的例子。請參閱節設置的innerHTML

它給人的頁面上的對策以及

代碼。

如果你正在談論XSRF，然後根據提示

跨站請求僞造（XSRF或CSRF）是一種類型的網絡攻擊 的其中一個攻擊者可以代表經過身份驗證的 用戶執行操作沒有用戶的知識。通常，它涉及到製作一個惡意HTML頁面，該頁面一旦被受害者訪問，將導致受害者的瀏覽器向第三方域發佈攻擊者控制的請求。如果受害人通過第三方域名 認證，則該請求將與該域名的瀏覽器Cookie一起發送，並且可能會觸發受害者的代表 的不良行爲並且未經受害人同意 - 例如，刪除或 修改博客或添加郵件轉發規則。

，你可以只讓一個頁面發送（未認證）的RPC請求，如果你的瀏覽器沿已認證用戶的Cookie傳遞和RPC調用成功，那麼攻擊的工作。