跨站點腳本 - 隱藏表單域

Question

我的應用程序正在進行滲透測試。

被標記的XSS項目之一是Im使用隱藏的表單字段在瀏覽器/搜索屏幕中存儲記錄ID，然後使用ID打開完整記錄。 （通過郵件）

我很努力地看到這是一個XSS攻擊。我錯過了什麼嗎？

Answer 1

如果表單提交時該值發生了變化，會發生什麼情況？

暴露實際的數據庫ID有風險，允許訪問屬於其他用戶的數據庫中的行。

如果你正在公開一個數據庫ID並在SQL查詢中使用它，你應該確保SQL查詢爲該ID使用一個綁定變量（或正確地轉義它，但綁定變量更好），並進行業務規則檢查以確保對應於該id的行實際上應該對當前應用程序用戶可見。

這是不是一個真正的XSS問題，但它絕對是一個安全問題。

Answer 2

如果您不過濾隱藏字段的輸入，則可能有一種可能。隱藏字段自身不是xss攻擊媒介。

Answer 3

一種可能性可以，如果你不過濾隱藏字段的輸入。隱藏字段自身不是xss攻擊媒介。

你確定「不XSS攻擊媒介「？不達意安全的錯誤感覺，除非你不知道，也沒有試圖對它進行測試。始終建議用戶驗證和過濾輸入。