javascript - CSS 注入(inject) : what's the worst that can happen?

Question

我们正在进行安全评估。

恶意用户有可能将任意 CSS 注入(inject)其他用户的网页，但我们不确定它是否真的可以被利用。

我知道他可以完全改变页面外观，甚至根本不显示任何内容。这就是全部？可能发生的最坏情况是什么？ JavaScript 可以嵌入到 CSS 中吗？他可以“窃取”其他用户的 cookie 吗？并启动另一个 session ？

Answer 1

对以上所有内容都是肯定的。注入(inject)任意 CSS 会导致 javascript 执行。看看:

• XSS Cheat Sheet

可能发生的最坏情况取决于环境。在某些情况下，窃取 session cookie 并访问用户 session 可能是最糟糕的事情(例如，银行、在线股票交易)，您的情况可能并非如此。其他攻击示例包括获得对浏览器的控制权、获得对客户端计算机的访问权等。