如果只有同一个用户才会看到XSS输入是威胁吗？

Question

如果他输入的XSS输入只能由他查看,恶意用户究竟能获得什么？他能得到什么吗？

我理解当所有站点用户都会查看恶意用户输入时XSS是如何出现问题的.但如果每个用户只查看自己的输入,他的恶意输入将只能由他查看,所以我的问题是:

• 这会以某种方式间接影响其他用户吗？
• 他能从中获得什么？

Answer 1

通过查看他发现的xss攻击向量,攻击者可以获得的是:-)但是!然后他可以使用该攻击向量,有几种方法可以做到这一点.

如果它是一个非持久性XSS漏洞(又名反映),则可能通过向潜在受害者发送链接(最有可能通过urlshortener进行模糊处理).如果它是一个持久的XSS漏洞(即存储为我现在正在写的那个评论),那么他就会发帖并等待.

现在,他可以获得的是一个很大的话题.想想如果你可以将脚本标记注入网页,你可以做些什么.然后,您可以从服务器加载整个javascript文件.

恶意代码然后可能会窃取一些cookie(如果这些没有设置为httponly)并立即通过ajax将它们发布到后端应用程序......这可能会通知攻击者,谁知道......这些cookie可能足以登录该网站作为受害者.

嗯..攻击者可以做很多事情.所以请消除你可能拥有的所有XSS漏洞.

XSS漏洞主要利用人们对其他网站的信任.不要低估XSRF漏洞,这些漏洞依赖于网站对您的浏览器的信任(另一个重要的话题)和Sql Injection攻击.

一些提示(我确定你知道所有关于它的但是为了完整性:

• 在用于验证用户身份的cookie中设置httponly
• 将用户输入打印回输出时使用htmlentities
• 在将用户输入存储到数据库之前使用mysql_real_escape_string
• 不要使用GET请求执行关键操作(即保存/删除/修改文章).对于那些(xsrf)使用POST.

祝好运!

更新:

一些可以帮助的工具:

• Chrome插件:Websecurify
• Firefox插件:xss-me
• Windows应用程序:NetSparker社区版(免费)
• X-platrofm:SkipFish,马鹿
• Nessus的

(我推荐SkipFish)