Questo non impedisce che le virgolette doppie, le virgolette singole o gli spazi escano dal contesto dell'attributo, poiché questo è coperto da "Codifica delle Entità HTML Aggressive".
Per background , un attacco come questo è possibile:
<body background="javascript:alert('XSS')">
Per id e name , questi attributi vengono spesso utilizzati come punti di riferimento nel DOM.
Se un utente malintenzionato può falsificare questi punti di riferimento, potrebbe essere in grado di ingannare gli script esistenti per ottenere e impostare valori da luoghi diversi da quelli progettati, il che potrebbe essere pericoloso a seconda del contesto utilizzato.
Questo vale anche per i moduli HTML dove name viene utilizzato per identificare la coppia nome / valore. Ad esempio, se un sito Web non codifica un particolare campo modulo quando viene emesso, ma poiché il campo modulo è generato dal server e il modulo è protetto contro CSRF mediante l'uso di token, non può essere sfruttato in modo normale. Tuttavia, un utente malintenzionato potrebbe essere in grado di invogliare un utente a visitare un URL con un parametro che viene utilizzato in name , contenente un carico utile XSS da eseguire alla presentazione del modulo.
es. Uso normale:
https://example.com/product?item_name=watch&qty=1
che esegue il rendering di un modulo
<form>
<input type="hidden" name="watch" value="1" />
<input type="hidden" name="shop_name" value="Bob's Supplies" />
<input type="hidden" name="anti-csrf" value="asdjasodhoai" />
<input type="submit" value="Click here to buy" />
</form>
E poi viene emesso come
Thank you for buying from Bob's Supplies.
Tuttavia, un utente malintenzionato potrebbe inviare un link all'utente in questo modo:
https://example.com/product?item_name=shop_name&qty=<script>alert('xss')</script>
Poiché l'applicazione è correttamente codificata in HTML a questo punto, restituisce il modulo come
<form>
<input type="hidden" name="shop_name" value="<script>alert('xss')</script>" />
<input type="hidden" name="shop_name" value="Bob's Supplies" />
<input type="hidden" name="anti-csrf" value="asdjasodhoai" />
<input type="submit" value="Click here to buy" />
</form>
Questo viene quindi visualizzato come
Thank you for buying from <script>alert('xss')</script>.
poiché questa pagina non codifica il parametro shop_name in quanto è attendibile e il framework dell'applicazione prende sempre il primo valore nel caso di duplicati. Molto artificioso, ma è stata la prima cosa che mi è venuta in mente per dimostrare il punto.