DOM-basiertes Cross-Site-Scripting/XSS: Unterschied zwischen den Versionen

Aktuelle Version vom 7. März 2023, 10:46 Uhr

Angriffsart wird auch lokales XSS genannt, da der Server nicht bösartigen Code ausführt.
JavaScript Code generiert lokal HTML-Elemente dynamisch (z.B. document.write)
Wenn dieser Code benutzerbasierten Input einliest und nicht richtig bereinigt, kann es schädliche Elemente generieren
Über einen bösartigen GET-Parameter in die URL kann der Hacker JavaScript Eingabeparameter mitgeben.
Opfer bekommt Link geschickt und klickt Link an.
HTML-Element wird generiert und vom Browser ausgeführt.
Webserver nicht an dem Prozess beteiligt.

@@ Zeile 1: / Zeile 1: @@
-*Über einen gefälschten GET-Parameter in die URL fügt der Hacker JavaScript ein.
+* Angriffsart wird auch lokales XSS genannt, da der Server nicht bösartigen Code ausführt.
-*Opfer bekommt Link geschickt und klickt Link an.
+* JavaScript Code generiert lokal HTML-Elemente dynamisch (z.B. ''document.write'')
-*Angriffsart wird auch lokales XSS genannt.
+* Wenn dieser Code benutzerbasierten Input einliest und nicht richtig bereinigt, kann es schädliche Elemente generieren
-*Schadcode wird durch eine Lücke in einem clientseitigen Skript ohne Überprüfung ausgeführt.
+* Über einen bösartigen GET-Parameter in die URL kann der Hacker JavaScript Eingabeparameter mitgeben.
-*Webserver nicht an dem Prozess beteiligt.
+* Opfer bekommt Link geschickt und klickt Link an.
-*Statische Websites, welche die jeweilige Skript-Sprache unterstützen, sind gefährdet.
+* HTML-Element wird generiert und vom Browser ausgeführt.
+* Webserver nicht an dem Prozess beteiligt.
 {{#drawio:xss3}}