3

基于 DOM（类型 0）的 XSS 不需要向服务器发送恶意代码，因此它们也可以使用静态 HTML 页面作为攻击媒介。此处的虚拟攻击字符串示例如下：

http://www.xssed.edu/home.html#<script>alert("XSS")</script>

我熟悉 ModSecurity 提供针对被认为是 0 型攻击的 PDF 中的 XSS 攻击的保护，但是我的问题是 ModSecurity 是否通常可以防止这种类型的 XSS，以及您认为这种漏洞的影响是什么。

4

2 回答 2

0

每个 Web 应用程序防火墙都在使用攻击签名工作。Type-0 XSS 生成与反射 XSS 相同的签名，因此这可能会被任何 WAF 阻止。由于服务器站点代码漏洞，不会发生 Type-0 XSS，但请求在页面加载过程中明显到达服务器。可以阻止 WAF 阻止此类攻击的唯一问题是文件的扩展名，但我相信在您的示例中这可能会被阻止。

于 2015-04-27T21:02:20.137 回答
0

如果您要重写规则的主体，实际上是有可能的。让我们举两个例子，易受 DOM XSS 攻击的 eval 和 innerHTML sink。我们所要做的就是重写输出的主体。

 SecRule REQUEST_URI "/sitestoprotect/" "chain,phase:4,t:none,t:urlDecode,t:lowercase,t:normalizePath"
    SecRule STREAM_OUTPUT_BODY "@rsub s/innerHTML/textContent/" "chain"
    SecRule STREAM_OUTPUT_BODY "@rsub s/var load/var msg = JSON.parse(e.data);var load"
于 2021-06-20T00:59:14.743 回答