La maggior parte dei browser moderni rileverà i tentativi xss (codice di script nell'URL) e impedirà l'esecuzione. Ci sono dei metodi standard noti su questo o gli attacchi xss sono praticamente impossibili ora?
La maggior parte dei browser moderni rileverà i tentativi xss (codice di script nell'URL) e impedirà l'esecuzione. Ci sono dei metodi standard noti su questo o gli attacchi xss sono praticamente impossibili ora?
Non ci sono modi standard in giro, ma ci sono modi per aggirare. Che cosa esattamente devi fare per andare in giro dipenderà dal browser e dalla versione. Su questo link puoi trovare alcuni esempi per aggirare la protezione in Google Chrome:
La precondizione sugli esempi in questo post del blog è che ci sono due parametri GET nel collegamento che è possibile utilizzare per XSS. Se un utente malintenzionato invia i seguenti criteri GET a eb, Chrome lo bloccherà:
a=<script>alert(1)</script>&b=something
Ma se i parametri a e b sono cambiati in questo modo:
a=<script>void('&b=');alert(1);</script>
... Chrome non rileva l'XSS. L'ho provato ora e funziona.
XSS sono ancora possibili ora, per questo puoi consultare Top 10 di OWASP Vulnerabilities Project 2013 , che è ancora una delle prime 3 vulnerabilità.
Ma oggi i browser moderni sono entusiasti di XSS e Stessa politica dell'origine anche se il tuo sito web non ha alcuna protezione per questi attacchi.
In caso di XSS ogni browser viene aggiornato con Filtri XSS nelle versioni più recenti. Per trovare XSS nel tuo sito devi disabilitare questi filtri e testare le vulnerabilità XSS.
Leggi questo per disabilitare il filtro XSS in IE e Firefox e verifica le vulnerabilità di xss.
Leggi altre domande sui tag client-side web-browser web-service