Qualche browser in cui potrei sfuggire all'URL con determinati caratteri?

Question

Qualche browser in cui potrei sfuggire all'URL con determinati caratteri?

#1 da (2 voti)

1

In questo sito web, puoi specificare il tuo URL del canale YouTube e fa un pulsante sulla pagina del profilo che andrà a quell'URL. Questa voce di testo non ha restrizioni oltre al fatto che deve avere meno di 200 caratteri e che deve iniziare con youtube.com/user/ , ma consente qualsiasi carattere dopo /user/ .

Esistono dei browser che trattano in modo specifico determinati caratteri nell'URL e sfuggono all'URL? L'unica ragione per cui lo chiedo è perché come ho detto posso usare qualsiasi carattere, quindi se potessi sfuggire all'URL ed eseguire il mio codice con gli URI dei dati potrebbe costituire una minaccia.

url-redirection

posta Jack 09.07.2018 - 19:53

fonte

1 risposta

Leggi altre domande sui tag url-redirection

In che modo SSD con SED crittografa e decrittografa i dati? nmap non mostra porte chiuse

score 2 · Accepted Answer

Non sei sicuro di cosa intendi per "sfuggire all'URL", ma posso pensare a tre cose subdole relative all'URL: s per provare in una situazione come questa:

XSS: se non ci sono escape, puoi provare un URL come " onClick="alert('XSS'); . Tuttavia, il filtro XSS di base o solo la codifica URL dell'URL renderà impossibile questo trucco.
Cambia protocollo o schema: menzioni data:// . Un altro trucco popolare è javascript: o vbscript: . Tutti questi hanno in comune il fatto che devono essere all'inizio dell'URL per fare qualsiasi cosa. Se l'URL inizia con una parte codificata, come youtube.com , sei sfortunato.
Apri reindirizzamenti: se YouTube ha un reindirizzamento aperto , puoi creare un link che richiede l'utente ovunque su internet. Se l'utente si aspetta di finire su YouTube, ma finisce su un sito che controlli, puoi utilizzarlo per il phishing. Ammetto che questo non è esattamente l'attacco più potente, ma non dovrebbe essere ignorato neanche.