如果只有同一个用户会看到它，XSS是否会输入威胁？

如果他输入的XSS输入只能由他看到，恶意用户究竟能获得什么？他有什么可以获得的？如果只有同一个用户会看到它，XSS是否会输入威胁？

我理解当恶意用户输入将被所有网站用户查看时，XSS是如何产生问题的。但是，如果每个用户仅查看他自己的输入，他的恶意输入将仅由他查看，所以我的问题：

这可以以某种方式间接影响其他用户吗？
他能从中获得什么？

来源

2011-06-01 sameold

什么攻击者可以通过观察，他发现作品中的XSS攻击向量获得，就是这样:-)但是！然后他可以使用那个攻击媒介，并且有几种方法可以做到这一点。

如果这是一个非永久性的XSS漏洞（又名反映），那么可能通过向潜在受害者发送一个链接（很可能通过urlshortener进行混淆）。如果这是一个持续存在的XSS漏洞（即像我现在写的评论那样存储），那么他只会发布自己的帖子并等待。

现在，他所能获得的是一场大谈。只要想一想，如果可以将脚本标记插入到网页中，您可以做些什么。然后你可以从你的服务器加载一个完整的JavaScript文件。

恶意代码可能会窃取一些cookie（如果这些cookie没有设置为httponly），并立即通过ajax将它们发布到后端应用程序......这可能会通知攻击者以及谁知道......这些cookie可能足以满足作为受害者登录该网站。

好吧..攻击者可以做很多事情......所以请消除您可能拥有的所有XSS漏洞。

XSS漏洞主要利用人们对其他网站的信任。不要低估XSRF漏洞，这些漏洞取决于网站对您的浏览器的信任度（另一个大谈话）以及Sql Injection攻击。

一些提示（我敢肯定你知道有关它的一切，但为了完整起见：

在cookie中的HttpOnly设置使用打印用户输入时对用户进行认证
使用ヶ辆回你的输出前
使用mysql_real_escape_string存储用户输入到你的数据库
不执行关键操作（即保存/删除/修改文章）使用GET requests..use POST那些（XSRF）。

祝你好运！

UPDATE：

一些工具，可以帮助：

Chrome的插件：Websecurify
Firefox插件：XSS-我
Windows应用程序：NetSparker社区版（免费）
X-platrofm：SkipFish，马鹿皮
Nessus

（我建议SkipFish）

来源

2011-06-01 18:24:11 dimi

我想不是，但这不是一个A/B的东西。谁知道该“XSS”的“脚本”部分是做什么的。也许攻击者在你的AJAX/javascript中发现了一个漏洞，并且他正在使用XSS类型的攻击来获得主机上的工具包。再次，我们可以推测整天注入式攻击会造成什么样的危害，但底线是如果你能够抵御它，就这样做。我们在这里可以想到的每一个技巧都会成为攻击者使用的列表中的一个技巧。

准备好你可以预测的东西，对抗已知的东西。

来源

2011-06-01 18:06:20

作为一种直接威胁...可能没有什么，因为他们无法完成任何事情，他们无法以直接的方式更轻松地完成任务。

但无论如何它应该是固定的，因为有可能几个月后线路需求发生变化，或者新开发人员重新使用相同的代码，然后出现真正的问题。

来源

2011-06-01 18:07:08 Darien

@ 0xAli他不是在谈论重定向。他只是说“以直接的方式” – sameold 2011-06-01 20:32:14

@ 0xAli：我的意思是说，如果用户注入只有在他自己登录时才能看到的JavaScript代码，那有什么意义呢？他可以使用浏览器工具在任何网站上在自己的计算机上运行任意JavaScript。 – Darien 2011-06-01 21:05:03

+1我的坏，我眼睛不好:) – 0xAli 2011-06-02 03:40:48

是的，它绝对是。注射可以由第三方发起，如reflected XSS的情况。

来源

2011-06-01 18:09:37 Gumbo

@Gumbo指出的+1（反映XSS），但也考虑到用户帐户被入侵的情况，并且攻击者提供恶意输入，当他或她返回时将返回给（合法）用户到现场。

又一个潜在的攻击向量...

来源

2011-06-01 18:14:29 dossy

我想你问：

能反映（XSS）的代码有对其他游客的影响之前分配环节 - 即测试期间

和
什么是adva ntage这样的测试可以达到恶意用户

如果我正确地读你，我的回答会是如下：

XSS是有关运行客户端码 - 通常是JavaScript - 在毫无戒心的用户浏览器和将有no effect on other users 超出了通过分发它通过链接，说服用户输入它直接或找到一个方法，以坚持在给定的页面。

如果你问它是否能够导致某种形式的命令执行的服务器上，这将是code injection或命令注入，而不是 XSS;恶意用户将要么需要将有幸发现该网站使用服务器端JavaScript或坏足够的编码，他们是实际上做的东西，他们想什么完全不同！

无论哪种方式，这将需要网站容易受到这种形式注入和超出范围什么XSS是关于。
如果我们谈论的XSS，测试允许恶意用户正确手艺他们的最终代码/链接，它是作为隐蔽越好，确实他们想让它到任何坏事。

除非有人或某个系统是请注意日志，例如，多个奇怪的HTTP请求，恶意用户将能够完善他们的利用，以便当他们的推文/电子邮件/ 病毒它有理想的效果。

HTH

来源

2011-06-02 00:57:02 Dantiumpro

如果只有同一个用户会看到它，XSS是否会输入威胁？

回答

相关问题