Domande con tag 'xss'

domande con tag
2
risposte

XSS Rischio per il server dietro il firewall

Scenario: publicserver.com è un'applicazione Web accessibile pubblicamente, che non filtra l'input, consentendo l'archiviazione degli attacchi javascript / XSS nel database. privateserver.lan è accessibile solo dall'interno di un firewall, su...
posta 20.01.2017 - 23:48
1
risposta

Perché gli scanner di solito non rilevano XSS memorizzati? C'è un modo per automatizzare il rilevamento di xss archiviati (persistenti)? [chiuso]

Sto cercando disperatamente strumenti, preferibilmente con qualche guida, anche preferibilmente open-source, per rilevare le vulnerabilità xss memorizzate. Si osserva che una manciata di questi non fornisce i risultati attesi con l'XSS memorizza...
posta 18.10.2016 - 15:35
1
risposta

Eventuali vulnerabilità causate dalla riduzione del parser XML del browser?

Ho trovato un modo per forzare un sito a restituire XML di tipo contenuto al browser dell'utente anche se il contenuto è HTML. Il browser quindi interpreta questo sito come XML e genera un errore poiché l'HTML contiene Javascript che non decodif...
posta 28.11.2016 - 18:58
1
risposta

Tag script che carica "xss.re/692" nei dati delle transazioni e-commerce - attacco reale o qualcos'altro?

Un sito di e-commerce che gestisco di recente ha ricevuto una transazione sospetta. Il campo per il nome del cliente includeva un tag script, ad esempio (il nome del cliente è stato cambiato in John Doe per proteggere l'anonimato): John Doe"&g...
posta 31.08.2016 - 21:22
1
risposta

Un semplice commento su WordPress può danneggiare il mio sistema (CVE-2016-4567)?

Quali rischi sono associati alla vulnerabilità di WordPress CVE-2016-4567 ? Cross-site scripting (XSS) vulnerability in flash/FlashMediaElement.as in MediaElement.js before 2.21.0, as used in WordPress before 4.5.2, allows remote attackers...
posta 01.06.2016 - 02:19
1
risposta

Possibili problemi quando uno o più cookie non HttpOnly

Ho una domanda relativa al cookie HttpOnly. Tracciare altri thread non è stato di grande aiuto, quindi sto postando la mia domanda qui per sapere se puoi prevedere eventuali problemi con la mia comprensione. Esiste un sito web, ad esempio www...
posta 25.06.2015 - 05:29
1
risposta

Query Xss basata su Dom - location.hash

Stavo solo guardando xss basato su Dom e mi chiedevo se il valore hash è stato scritto su una variabile nel contesto di javascript può portare a Cross site scripting. Il codice ha un aspetto simile al seguente: <script> var myhash=window...
posta 22.06.2015 - 06:39
2
risposte

Prevenire l'XSS / HTML Injection è davvero così semplice?

Un collega mi suggerì solo per evitare che i caratteri delle lettere si presentassero immediatamente dopo una parentesi angolare di apertura come modo per proteggersi dall'iniezione XSS e HTML. Ovviamente, questo non impedisce problemi come:...
posta 07.11.2014 - 11:16
3
risposte

Il CSP è sufficiente per prevenire attacchi XSS [duplicato]

Supponendo che gli utenti stiano utilizzando browser moderni, sta implementando una policy CSP severa quanto basta per prevenire tutti gli attacchi XSS? Sto lavorando a un'app Backbone e mi chiedo se devo ancora visualizzare i dati degli ut...
posta 22.04.2015 - 12:16
1
risposta

Quali sono alcuni utili tag e payload per l'iniezione HTML su siti protetti da CSP?

Sto testando con penna un sito Web che ha risolto gran parte delle sue vulnerabilità XSS semplicemente aggiungendo una politica di sicurezza dei contenuti. Ci sono ancora iniezioni di HTML in diversi punti. Ho cercato di ottenere un file contene...
posta 13.04.2015 - 10:55