是否迴應$ _GET參數的網站安全漏洞？

正如問題所述，我在我的網站上發現了這個問題，但沒有逃脫，並且想知道在最壞的情況下有人能做些什麼？參數本身是一個搜索值$ _GET [「q」]。

2015-04-16 Agusfn

當我使用q =文本'「> DROP％2520TABLE％2520users-- 它給一個錯誤：不可接受！在此服務器上找不到請求的資源的適當表示形式此錯誤由Mod_Security生成但是我在使用mysqli_real_escape_string查詢之前轉義文本，爲什麼這個錯誤甚至發生？ – Agusfn

您正在離開您的網站以反映XSS攻擊。所以JavaScript可以傳入參數並在網站中使用。

https://www.owasp.org/index.php/Testing_for_Reflected_Cross_site_scripting_%28OTG-INPVAL-001%29

從以上這樣的攻擊的例子是沿着線：

http://example.com/index.php?q=<script>alert(123)</script>

來源

2015-04-16 14:35:11

那有什麼風險？我的意思是，這隻會改變攻擊者的客戶端頁面，而不是所有的人。你甚至可以修改一個網站客戶端與許多擴展那裏。 – Agusfn

@Agusfn有很多方法可能會導致問題。該頁面可以被操縱以顯示不正確的信息。釣魚攻擊可能會改變登錄表單。會話cookie可能因會話劫持而被盜用。 –

@Agusfn他們被稱爲跨站腳本_attacks_有一個原因：他們是不好的。 –

是否迴應$ _GET參數的網站安全漏洞？

回答

相關問題