4

例：

<!DOCTYPE>
<html lang="en">
    <head>
        <title>XSS test</title>
        <style>
        div {
            background-color:red;
            height:100px;
            width:100px;
        }
        </style>
    </head>
    <body>
        <div></div>
    </body>
</html>

JavaScriptスタイルタグ内を使用してコードを挿入することは可能ですか? XSSを通じて攻撃を誘発できると聞いたことがありCSSます。

4

1 に答える 1

4

はい、後者の URL サポートのおかげで、JavaScript は CSS でも実行できます。javascript:一般に、およびdata:疑似URL により、URL を指定できる任意のメカニズムを介して JavaScript を実行できます。その結果、CSS を介して機能する多数のクロスサイト スクリプティング ベクトルが存在します。例えば：

<style>p[foo=bar{}*{-o-link:'javascript:alert(1)'}{}*{-o-link-source:current}*{background:red}]{background:green};</style>

それらの多くは、Mario Heiderich のサイトhttp://heideri.ch/jso/#cssにあります。

于 2013-10-30T15:16:30.000 に答える