问题标签 [xss]

问问题

For questions regarding programming in ECMAScript (JavaScript/JS) and its various dialects/implementations (excluding ActionScript). Note JavaScript is NOT the same as Java! Please include all relevant tags on your question; e.g., [node.js], [jquery], [json], [reactjs], [angular], [ember.js], [vue.js], [typescript], [svelte], etc.

4310 问题

0 投票

5 回答

823 浏览

php - 将服务器变量回显到页面时，我是否已经覆盖了所有安全基础？

使用我一直使用的表格

让我的表格提交给自己。

我使用striptags()以防有人链接到：

我是否涵盖了所有基础，以防止 XSS 攻击，或者我应该使用更多的白名单方法，比如只允许字母数字字符、正斜杠、问号、等号、括号等的正则表达式？

谢谢！

0 投票

2 回答

1466 浏览

php - 我应该在里面 htmlspecialchars() 变量吗？

是否有必要过滤/转义不安全的变量<title>或其他标签<head>以防止 XSS？

php security xss

0 投票

1 回答

1029 浏览

c# - DataBinder.Eval 中的 XSS

在以下 C# 代码隐藏中，XSS 的潜力在哪里？

这可以解决吗？谢谢。

c#asp.net xss

0 投票

3 回答

2179 浏览

javascript - 使用跨框架脚本获取选定文本

我已经为一个问题苦苦挣扎了几个小时，我希望能在实现我的目标方面得到一些帮助，或者确认我正在尝试做的事情实际上是不可能的。

我有一个 webapp，它document.getSelection()从任意网页获取选定的文本 () 作为输入。虽然可以使用小书签相当轻松地编写此类脚本，但如果我可以使用 iframe 完成此操作，则对最终用户来说是最好的。

父框架是我使用此脚本的站点：

任意站点位于子框架中。除非子文档来自我的域，否则出于 XSS 安全原因禁止访问。我尝试了几种变体并尝试了破解，包括将 iframe 设置src为我的域，并使用第三方 URL 作为参数，然后重定向到第三方 URL。从某种意义上说，我很高兴它不起作用（因为如果它起作用了，那么XSS安全还有很长的路要走......）

另一种选择是下载第三方页面并像代理服务器一样从我的域提供它，但我已经遇到了一堆文件的相对路径问题，这些问题有时很容易成为绝对路径，但有时是傻瓜的差事（例如通过脚本访问文件时）。

我已经得出结论，我可能只是运气不好。也许我的案例的一个重要区别是我只想访问.getSelection()孩子的方法。无需能够访问 cookie 或击键或与 DOM 交互。也许这没有什么不同，但也许确实如此。

javascript jquery security dom xss

0 投票

5 回答

421 浏览