Возможно ли использовать XSS для чтения защищенного контента

Я прочитал все о том, как использовать маркеры, чтобы злоумышленники не отправляли вредоносный контент на сайт с помощью XSS. Мой вопрос заключается в получении защищенного контента с сайта.Возможно ли использовать XSS для чтения защищенного контента

Например, у нас есть сайт электронной торговли с моей учетной записью, на котором мы указываем все предыдущие заказы пользователя, возможно ли, что злоумышленник может заманить пользователя на сторонний сайт, а затем запустить сценарий или что-то сделать быть пользователем и получать информацию от нас?

источник

2013-09-11 mr1031011

Особая благодарность LachlanB за добавление дополнительной информации. После дальнейших исследований кажется, что мне не нужно беспокоиться об этом очень конкретном случае из-за той же политики происхождения, что и самые современные браузеры.

«В политике вычислений политика одного и того же происхождения является важной концепцией безопасности для ряда языков программирования на стороне браузера, таких как JavaScript. Политикой разрешены сценарии, выполняемые на страницах, происходящих из одного и того же сайта, - комбинация схемы, имя хоста и номер порта [1] - для доступа к методам и свойствам друг друга без каких-либо конкретных ограничений, но препятствует доступу к большинству методов и свойств между страницами на разных сайтах. [1] Политика одинакового происхождения также применяется к XMLHttpRequest и к роботам. TXT. [2]»Википедия

http://en.wikipedia.org/wiki/Same-origin_policy

источник

2013-09-16 01:54:54 mr1031011

Да, это возможно. Если кто-то может ввести код javascript на вашу страницу, используя ошибку XSS на вашем сайте, они могут написать код для получения всей информации пользователя. Или, если кто-то заходит в вашу сеть (или в сеть пользователя), они могут захватить cookie сеанса пользователя.

Если вы находитесь на территории .NET, ознакомьтесь с Html.AntiForgeryToken(), чтобы защитить себя и использовать HTTPS для всего.

источник

2013-09-11 04:28:38 Rocklan

привет LachlanB, это при условии, что злоумышленник может каким-то образом внедрить вредоносный код на мой сайт ри GHT? Как насчет случая, когда злоумышленник заманивает пользователя на сторонний сайт, который заражен вредоносным кодом, который затем из браузера пользователя отправляет запросы на наш сайт для извлечения данных. Поскольку запрос на страницу учетной записи пользователя обычно является запросом GET, маркер csrf не проверяется. – mr1031011

Да, это правильно. Обычно страницы, обслуживающие данные пользователя (например, страница учетной записи), защищены за сеансом, который предоставляется только пользователю, если у них есть определенный файл cookie. Сначала прочитайте сеансы и файлы cookie, чтобы получить общее представление о том, что происходит. – Rocklan

Да У меня уже есть сеанс, чтобы защитить его, но задался вопросом об использовании XSS для чтения содержимого у уполномоченного лица на стороннем сайте. Во всяком случае, похоже, что из-за политики одного и того же происхождения это кажется невозможным, 1 меньше о чем беспокоиться. – mr1031011

Возможно ли использовать XSS для чтения защищенного контента

ответ

Смежные вопросы