Question

假设我有一个接受名为“content”的参数的Web应用程序。此参数中存在的任何内容都将作为HTML响应的一部分输出。

示例JSP代码：

<%= request.getParameter("content") %>

我知道这很愚蠢，它应该被消毒等等，但我的问题是，攻击者是否真的可以利用这个？我理解它的方式你只会改变发送给自己的内容，所以攻击者唯一可以伤害的是他自己？正确的吗？

Answer 1

考虑以下示例：

your.vulnerable.site.com/page.jsp?content=<img src="lol" onerror="javascript('code, that posts the users cookie to the attackers site')" />

然后攻击者在某处创建了一个链接，并使其看起来像是您网站的一些重要链接。当然 - 有几次像这个例子一样聪明的载体。

Answer 2

我理解它的方式你只会改变发送给自己的内容，所以攻击者唯一可以伤害的是他自己？

没有

它是一个URL。攻击者需要做的就是让受害者访问它。

他们可以将它从他们自己的网站链接，将其放入电子邮件，即时消息等等（并将其包装在一个小小的网址服务中以伪装它）。

Answer 3

攻击者可以在内容var中生成具有特殊价值的网址，并将其发送给某些受害者并阅读他的Cookie。

Answer 4

肯定是的。至少XSS攻击已准备好......这是XSS攻击目标的经典考试。您应该注意并且不要在html内容中显示任何直接来自客户端的内容。您使用的是许多AntiXSS库。