Casa / Skype / Script dannosi. Diario di bordo. Cosa fare se non riesci a trovare il virus da solo

Script dannosi. Diario di bordo. Cosa fare se non riesci a trovare il virus da solo

29.11.2020 Skype

JavaScript dannoso

La mia opinione, che consiste nel fatto che è più facile ed efficace proteggersi dagli script dannosi del browser (attacchi XSS memorizzati) tramite browser, è stata espressa in precedenza: . La protezione del browser contro JavaScript, che consiste nell'aggiungere un codice di filtraggio alle pagine html del sito, dovrebbe essere affidabile, tuttavia la presenza di tale protezione non elimina la necessità di utilizzare anche un filtro lato server. Contro gli stessi attacchi XSS sul server, puoi organizzare un'ulteriore linea di difesa. Dobbiamo anche ricordare della possibilità che un utente malintenzionato inserisca nel messaggio html inviato dal sito, non browser, ma script del server (php), riconoscendo quale browser non sarà forte.

Uno script attaccante, sia esso uno script del browser o uno script del server, è un programma, e bisogna pensare che il programma avrà sempre alcune differenze simboliche rispetto all'html "puro". Proviamo a trovare tali differenze e usiamole per creare un filtro html sul server. Di seguito sono riportati esempi di JavaScript dannoso.

XSS:

qualche testo


qualche testo

XSS crittografato:

qualche testo


qualche testo

I browser ripristinano il testo dalle primitive dei caratteri non solo all'interno dei contenitori html (tra i tag di apertura e di chiusura), ma anche all'interno dei tag stessi (tra i tag< и >). La codifica URL è consentita negli indirizzi http. Ciò complica il riconoscimento del codice dannoso sul lato server, poiché la stessa sequenza di caratteri può essere rappresentata in modi diversi.

Vermi XSS:

"+innerHTML.slice(action= (method="post")+".php",155)))">