уязвимости, позволяющие пользователю определять innerHTML

Question

уязвимости, позволяющие пользователю определять innerHTML

Допустим, у меня есть элемент и <div>, и когда пользователь помещает html, CSS или что угодно, что они хотят), в textarea, то их входные данные устанавливаются как innerHTML элемента <div>, используя javascript.<br /> <br /> <p>Каковы уязвимости, позволяющие пользователю определять содержимое элемента ?</p><br /> </div><br /> </div>

536 4

javascript html

4 ответов:

Comments

Ничего не найдено.

Max · Accepted Answer · 2011-04-29 05:00:14

Если контент, который они вводят, не покидает страницу, нет большего риска, чем редактирование DOM через firebug или Chrome inspector. Если вы принимаете их ввод, а затем отображаете его как есть, это огромный риск для безопасности, особенно когда другие пользователи находятся на вашем веб-сайте.

Karthik Ramachandran · Accepted Answer · 2011-04-29 05:22:22

Ну, если вы кодируете содержимое так, что любой javascript, который там находится, не будет выполняться, то это должно быть безопасно.

Если вы этого не сделаете, то пользователь может загрузить javascript, который будет выполняться при следующем просмотре этой страницы другим пользователем.

Я хочу изменить свой ответ, чтобы учесть комментарии @Brigham. Escape работает надежно только в том случае, если вы имеете дело с The innerHTML чего-то вроде вкладки div, если вы имеете дело с использованием созданного пользователем значения в качестве атрибута или в теге сценария тогда экранирование / кодирование не будет работать.

Я отсылаю вас к руководству OWASP XSS (которое @Brigham первоначально привлек мое внимание) для получения дополнительной информации: https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet#Untrusted_Data

peflorencio · Accepted Answer · 2011-04-29 04:59:41

Пользователь может выполнять межсайтовые сценарии. Он может вводить вредоносный код на стороне клиента

Взгляните на http://en.wikipedia.org/wiki/Cross-site_scripting

Brigham · Accepted Answer · 2011-04-29 05:02:39

Все, что они хотят, может включать тег <script>, который тянет a .файл js с их собственного сервера. Затем, если вы покажете этот контент другому пользователю, скрипт может сделать все возможное, чтобы извлечь информацию из ничего не подозревающего пользователя.