He estado leyendo acerca de XSS e hice un formulario simple con una entrada de texto y envío, pero cuando ejecuto <script>alert();</script>, no ocurre nada, el servidor obtiene esa cadena y eso es todo.¿Qué hace que una entrada sea vulnerable a XSS?
¿Qué tengo que hacer para hacerlo vulnerable? (entonces aprenderé lo que no debería hacer jeje)
Saludos.
De hecho, solo deje que el servidor lo emita para que la cadena de entrada se incruste efectivamente en el código fuente HTML que se devuelve al cliente.
ejemplo PHP:
<!doctype html>
<html lang="en">
<head><title>XSS test</title></head>
<body>
<form><input type="text" name="xss"><input type="submit"></form>
<p>Result: <?= $_GET['xss'] ?></p>
</body>
</html>
ejemplo JSP:
<!doctype html>
<html lang="en">
<head><title>XSS test</title></head>
<body>
<form><input type="text" name="xss"><input type="submit"></form>
<p>Result: ${param.xss}</p>
</body>
</html>
alternativa, se puede volver a mostrar el valor de los elementos de entrada, que también es a menudo visto:
<input type="text" name="xss" value="<?= $_GET['xss'] ?>">
resp.
<input type="text" name="xss" value="${param.xss}">
esta manera las cadenas de ataque "extraños" como "/><script>alert('xss')</script><br class=" funcionarán porque el servidor hará que después de todo lo
<input type="text" name="xss" value=""/><script>alert('xss')</script><br class="">
soluciones XSS de prevención son entre otros htmlspecialchars() y fn:escapeXml() para PHP y JSP, respectivamente. Esos reemplazarán entre otros <, > y " por <, > y " de modo que la entrada del usuario final no quede literalmente incrustada en el código HTML, sino que se visualice tal como fue ingresada.
Haga que el servidor devuelva la entrada al cliente.
Leí "Hacer que el servidor devuelva la entrada al cliente", y pensó wow, esa es la respuesta más simple y definitiva a esta pregunta. –
Debería "inyectar" la secuencia de comandos. Así que si usted tiene una entrada de texto, que debe poner en la forma:
" /> <script>alert();</script>
De esta manera se cierra primero el atributo del HTML existente y luego inyectar su propio código. La idea es escapar de las citas.
Eso no es lo que está preguntando. Él sabe cómo realizar el ataque, está preguntando qué hace que una entrada sea vulnerable. – 0112
Tres cosas simples:
Más información con ejemplos en OWASP Top 10 for .NET developers part 2: Cross-Site Scripting (XSS).
¿Está utilizando algún idioma del lado del servidor? – StingyJack
.NET (pero no ASP.NET) – vtortola