Попытка использовать? - PullRequest
Новая
       21

Попытка использовать?

11 голосов
/ 01 марта 2011

Я увидел, что на моем сайте nopCommerce был зарегистрирован поиск: 

ADw-script AD4-alert(202) ADw-/script AD4-

Мне немного любопытно, что они пытались сделать. Я немного искал его и, по-видимому, ADw-script AD4- кодирует в UTF7 до <script>. Но почему alert(202)?

Они просто проверяли уязвимости?

Было зарегистрировано больше попыток взлома, и я задал новый вопрос о них здесь: Попытка взлома, что они пытались сделать и как я могу проверить, удалось ли им?

Ответы [ 4 ]

9 голосов
/ 01 марта 2011

Кто-то проверяет, есть ли у вас уязвимость UTF-7, чтобы использовать ее позже.UTF-7 использует только символы, которые обычно не считаются вредными.Вы всегда используете мета-кодировку в своем HTML?

Всегда используйте мета-кодировку как можно выше в своем HTML, например: 

<!doctype html>  
<html lang="en-us">
<head>
  <meta charset="utf-8">
  ...

, и вам не придется беспокоиться о UTFXSS-атаки на основе -7.

3 голосов
/ 01 марта 2011

Да, они просто проверяли, уязвим ли ваш сайт для XSS.

Чтение http://www.cgisecurity.com/xss-faq.html

и Rsnakes XSS шпаргалка

http://ha.ckers.org/xss.html

для получения дополнительной информации

2 голосов
/ 01 марта 2011

Предполагается, что выполнение alert(202) позволит злоумышленнику решить, возможно ли внедрить JS на вашу страницу. Другими словами, да, вас, вероятно, проверяют.

0 голосов
/ 11 сентября 2014

Если вы хотите быть в безопасности от этих типов инъекций, вы должны указать тип содержимого.

Попробуйте по возможности поместить тип содержимого в заголовки вместо мета-тегов, если это возможно.Если вы хотите сделать это в php, вы можете сделать 

<?php
    header('Content-Type: text/html;charset=utf-8');

в верхней части вашего приложения php.Если по каким-либо причинам вы не можете этого сделать, вы можете поместить это в свои метатеги: 

<!DOCTYPE HTML>
<html>
    <head>
        <meta charset="utf-8">
        ....Rest of your page
...