Может ли это стать причиной уязвимости XSS? - PullRequest
2 голосов
/ 01 марта 2011

На моем веб-сайте было выполнено сканирование на наличие уязвимостей и т. Д. В ответ был возвращен отчет о том, что существует риск атаки XSS, я изучил код своего веб-сайта и единственную проблему, которую я могу найти (котораявызывая ошибку проверки W3C) это то, что я случайно добавил 'language = "javascript"' в свой тег сценария ... могло ли это вызвать ошибку, о которой они сообщили?У меня нет никаких форм ввода, и он не подключен к базе данных.

Большое спасибо, заранее.

Ответы [ 3 ]

2 голосов
/ 01 марта 2011

Нет, использование language="javascript" в тегах script не сделает XSS уязвимостью, даже если это плохая практика. К сожалению, я не могу понять, откуда взялась ваша возможная XSS-уязвимость без какого-либо соответствующего кода.

0 голосов
/ 01 марта 2011

Любой авторитетный консультант должен четко указать в своем отчете, что именно представляет собой риск и как он воспроизводится. Я ожидаю увидеть документированную методологию, выводы и выводы.

Если они не могут продемонстрировать риск, то не могут сказать, что нашли его.

UPDATE:

На основании вашего комментария я нашел следующее, которое идентифицирует это как общую уязвимость веб-сервера Apache, а не как ваш конкретный код. Вы должны спросить, кто бы ни управлял вашим веб-хостингом, прокомментировать.

Ошибка в обработке недопустимых заголовков Expect. Если злоумышленник может повлиять на заголовок Expect, который жертва отправляет на целевой сайт, он может выполнить межсайтовую скриптовую атаку. Известно, что некоторые версии Flash могут устанавливать произвольный заголовок Expect, который может вызвать этот недостаток. Не помечен как проблема безопасности для 2.0 или 2.2, так как межсайтовый скриптинг возвращается жертве только после истечения времени ожидания соединения сервером.

ОБНОВЛЕНИЕ 2:

Ниже приведено описание уязвимости ( ссылка ). Попросите ваших хостинг-провайдеров проверить, что их серверы исправлены.

В мае 2006 года репортер обнаружил ошибку в Apache, из-за которой отправлялся неверный заголовок Expect. на сервер (Apache 1.3.3 и выше) будет возвращен пользователю в случае ошибки сообщение, не покинуло. Это может позволить межсайтовый скриптинг, только если жертва может быть обманом подключена к сайту и отправлена созданный заголовок Expect. Браузеры висты не предоставляют такой функциональности, это было недавно обнаружил, что Flash позволяет установить соединение с произвольным заголовки. Следовательно, механизм атаки:

  1. Пользователь обманут, посетив вредоносный веб-сайт с помощью браузера с поддержкой флэш-памяти
  2. Вредоносный веб-сайт использует флэш-фильм для подключения к целевому сайту. с пользовательским заголовком Expect
  3. Это приводит к межсайтовому скриптингу (злоумышленник может украсть ваши куки из сторонний сайт или добавить контент и т. д.)
0 голосов
/ 01 марта 2011

Если вы уверены, что ни один пользовательский ввод никогда не сможет использоваться на ваших страницах, тогда XSS не может быть.

...