php - XSS 和 PHP 攻击

Question

我被分配测试另一个小组刚刚创建的网站。我发现了

它容易受到 XSS 攻击。但是，它并没有真正抛出

当我将 JS 与 PHP 一起使用时出现错误或任何有效信息：

i.e. var someVar = <?php echo 'a'; ?>

     alert(someVar);

这导致我假设容易受到 XSS 攻击的站点可能不一定允许 php 代码

被注入。我对么？如果没有，我在上面发布的部分有什么问题吗？

而且，我没有尝试通过 GET 变量进行 php 注入的原因是我这样做了

到目前为止，不要使用任何形式的page.php?id=''来查询数据库，除了

注册和登录部分，通过 POST。

score 2 · Accepted Answer

This led to my assuming that a site prone to XSS attacks may not necessarily allow php code to be injected. Am I correct?

Yes, of course.
XSS attacks has nothing to do with PHP code injections. It's all about JS code injection

score 1 · Accepted Answer

JavaScript 运行在客户端，Php 运行在服务器端。您无法使用 JavaScript 在客户端执行 php。在wiki上查看更多信息。

您可以尝试做的是从任何网站输入字段发布一些包装在标签中的 js 代码，如果它的值没有在服务器端验证并直接转到 db 并在您看到 js 代码执行后显示在网站页面上的某个位置，就像其他客户端会做的那样，所以 js 代码可能会在客户端计算机上做一些有趣的事情

2 回答 2