当 URl 包含隐藏字段时测试 XSS 漏洞答案

【问题标题】：Testing for XSS vulnerabilities when URl contains hidden fields当 URl 包含隐藏字段时测试 XSS 漏洞
【发布时间】：2013-04-05 05:18:56
【问题描述】：

我正在为我的门户检查 XSS 漏洞。我在互联网上找到的例子说，如果你有这样的 URl

http://www.yoursite.com/index.html?name=george

尝试像这样编码它

http://www.yoursite.com/index.html?name=<script>alert('You just found a XSS vulnerability')</script>

如果您发现 alert ，它将表明您的门户网站存在 XSS 漏洞。但我的问题是我的网址不包含任何变量，因为我正在使用隐藏字段我的网址看起来像

http://[myip]:8080/appshop-V1/appStoreRegistration.html

并且它不会在任何帖子或获取操作上发生变化。我如何在这种情况下插入脚本并检查漏洞。

【问题讨论】：

标签： xss

【解决方案1】：

基本安全告诉你不应该相信来自用户的输入，他们可以使用 fiddler 之类的工具，也可以轻松地操纵隐藏字段的值。如果您使用该值在门户上输出名称等内容...在输出之前进行 html 编码。 XSS 不限于 querystring ，它可以是来自用户的任何东西。甚至建议您不要将敏感信息存储在隐藏字段中，因为最终用户可以看到并更改它。

【讨论】：

【解决方案2】：

一般来说，如果您的表单处理器只接受 POST 请求，那么 XSSing 有点困难（参见http://blog.portswigger.net/2007/03/exploiting-xss-in-post-requests.html 的示例）。如果您只想测试而不是创建完整的漏洞利用，那么请使用允许您修改请求字段的工具（例如上面链接中的 Burp Suite）并使用它。

如果您的回发 URL 同时响应 POST 和 GET 请求（不应该，但这种情况总是发生），那么只需将您的“post”变量添加到您的第一个示例中的 URL 中，并通过它们进行 XSS。变量可以在你的 HTML 元素中看到。

一些高级阅读在https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

总之，买个扫描仪吧，这不值得手工做。

【讨论】：