我了解在 GET 帖子上使用XSS窃取信息的情况,如下所示:
这是可能的,因为单击URL链接将以GET模式打开网页。因此,我想知道页面是否容易受到 POST 请求的XSS攻击,这是否是安全问题?我无法弄清楚“合理的”攻击工作流程。
最佳答案
当然可以。为什么嵌入外部代码的方法根本不重要?确实发生是问题,而不是问题所在。
考虑一个简单的HTML表单,在服务器端验证失败后,该表单将使用先前的用户输入进行预填充。
如果此预弹出窗口允许XSS(从本质上讲,忽略了所有数据,然后在HTML上下文中将其输出之前转义了所有内容)–那么我可以轻松地在自己的页面中设置一个表单,使其action
属性指向您的表单处理地址,并且通过隐藏字段传递我喜欢的任何数据–并需要用户通过一个简单的提交按钮将该数据发送到您的服务器,该按钮的格式可能看起来像普通链接,只说“单击此处转到example.com” 。用户希望像其他链接一样“正常”地打开页面-但实际上,它发送的值触发再次显示带有预填充字段的表单。
等等,成功进行了XSS攻击。
(所有这些前提是目标站点没有针对“外国”表格数据的额外安全性。)
关于security - 在POST请求上使用XSS窃取信息的场景是什么,我们在Stack Overflow上找到一个类似的问题:https://stackoverflow.com/questions/15765891/