php - 如果用户只查看自己的数据——是否存在 XSS 风险？

Question

如果我的网站只允许用户查看他们自己提交的数据，而永远不允许其他用户提交的数据(即没有一般的“帖子”等)——那么我的网站是否真的存在 XSS 风险？

我仍将致力于 XSS 解决方案(如 httmlspecialchars() 等)- 但我很好奇攻击者是否可以通过查看他们自己的 XSS 攻击获得任何东西？

Answer 1

攻击者无法通过对自己使用跨站点脚本技术获得任何好处。跨站点脚本的目的是以恶意方式操纵向用户显示的页面元素，无论是网络钓鱼还是读取 cookie。换句话说，攻击只能影响客户端实体。

但是，请务必牢记“用户只查看自己的数据”的含义。

假设我有一个网站，用户可以在其中拥有私有(private)资料，只有他们自己可以查看。页面上有一个文本输入元素，允许用户输入他们的网站 URL。现在假设更新用户配置文件的表单使用 GET。

页面更新提交可能如下所示:

http://www.example.com/privateprofile.pl?action=update&userwebpage=http://www.example.net

攻击者可能会通过诱骗用户加载 URL 来利用此漏洞:

http://www.example.com/privateprofile.pl?action=update&userwebpage= [malicious_js_code_here]

当然，这是一个相当简单的例子，但希望它能说明一般概念。令人担心的是，他们有可能诱骗用户自己进入 XSS。当然，像这样的 XSS 攻击的可行性取决于您的具体实现。