XSS: Skirtumas tarp puslapio versijų
Ištrintas turinys Pridėtas turinys
4 eilutė:
*DOM XSS - kai su XSS atakuojama naršyklė, o ne puslapis. Pvz. JavaScript skriptas įterpiamas į Javascript ''document.write()''.
==Paprasčiausi atv. ==
=== Pirmo tipo ===
Parasčiausias atv. tokios atakos (išsaugomo tipo) tai toks. Puslapio komentarai niekaip nefiltruojami nuo 'HTML' kodo, tada įrašomas komentaras:
<script>alert("puslapis nulaužtas!")</script>
Skriptas keliauja į komentarų duomenų bazę ir ten išsaugomas. Po to platinamas visiems lankytojams. Ir visi lankytojai tada mato lentelę "puslapis nulaužtas" vietoj komentaro vėliau. Jei jie prisiregistravę visi jų registracijos duomenys gali būti nukopijuoti su sudėtingesniu skriptu ar pasekti dar kiti dalykai viską riboja tik JavaScript programavimo galimybės.
=== Antro tipo ===
Paprasčiausia neišsaugomo tipo ataka galima jei dalis puslapio URL patenka į puslapio turinį. Tarkime nesaugus puslapis turi php skriptą:
<? echo $_GET["name"] ?>
| |||