如果我的网站只允许用户查看他们自己提交的数据,并且永远不会查看其他用户提交的数据(即没有一般的“帖子”等)-那么我的网站实际上存在XSS风险吗?
我仍将致力于解决XSS问题(如httmlspecialchars()等),但我想知道攻击者能否通过查看自己的XSS攻击而获取任何东西?
我仍将致力于解决XSS问题(如httmlspecialchars()等),但我想知道攻击者能否通过查看自己的XSS攻击而获取任何东西?
http://www.example.com/privateprofile.pl?action=update&userwebpage=http://www.example.net
攻击者可能会利用这一点欺骗用户加载URL:http://www.example.com/privateprofile.pl?action=update&userwebpage=[malicious_js_code_here]
当然,这只是一个相对简单的例子,但希望它能够演示一般概念。问题在于攻击者可能会诱使用户自己输入XSS代码,因此存在风险。当然,此类XSS攻击的可行性取决于您具体的实现方式。
如果所有数据都是私密查看的话,那么就没有真正的风险。XSS 的整个目的是通过驱动-by 来劫持会话或其他用户浏览器中的个人信息。如果没有这样的机会,那么 XSS 就不存在。
是的-这根本不保护你。实际上,这是正常情况。你必须考虑的是,如果黑客可以通过URL在你的站点中植入XSS,然后说服其他人打开该URL,那么你用户的数据(cookie、密码等)就会被窃取。
htmlspecialchars()
,否则您可能会遇到破损的HTML和其他问题。 - Brad