CSS注入:可能发生的最坏情况是什么？

Question

我们正在进行安全评估.

恶意用户有可能将任意CSS注入其他用户的网页,尽管我们不确定它是否真的可以被利用.

我知道他可以完全改变页面外观,甚至根本不会显示任何内容.这就是全部？可能发生的最坏情况是什么？JavaScript可以嵌入CSS吗？他可以"窃取"其他用户的cookie吗？并开始另一场会议？

Answer 1

看看这里:

• 终极XSS CSS注入
• HTML/CSS注入 - 原始恶意代码(或者,可能发生的最坏情况是什么？)
• OWASP上的XSS预防备忘单

Answer 2

对以上所有内容都是肯定的。注入任意 CSS 都可能导致 javascript 执行。看着：

• XSS 备忘单

可能发生的最糟糕的事情取决于环境。在某些情况下，窃取会话 cookie 并访问用户会话可能是最糟糕的事情（例如，银行、在线股票交易），但您的情况可能并非如此。其他攻击示例包括获取浏览器的控制权、获取对客户端计算机的访问权限等。