Gli attacchi simili sono possibili, senza XSS .
Dì che il codice era
<script type="text/javascript">
var x = 0;
// Some processing
x=395;
</script>
Se l'autore dell'attacco desidera che il valore di x
non sia influenzato da x=395
, potrebbe utilizzare il filtro anti-XSS del browser per filtrare il codice.
es. Creando un link creato per inviare alla vittima:
example.com/page.html?param=x%3d395%3b
Il filtro XSS rileva che il valore del parametro si riflette nell'output ( x=395;
) e ne blocca l'esecuzione.
Pertanto, il valore originale di x
rimarrà.
Per mitigare questo, imposta il filtro XSS del browser dell'utente per bloccare piuttosto che filtrare usando le intestazioni di sicurezza :
X-XSS-Protection: 1; mode=block