php - 为什么/如何是 `value="javascript :alert(1 )"` considered as a XSS vulnerability in OWASP's ZAP tool?

Question

OWASP 的 ZAP 的结果对于消除我网站的易受攻击部分非常有用。

但是，我发现了很多我根本无法修复的结果。例如，其中一个 get 参数已将 javascript:alert(1); 放入变量中。然后，此变量由 PHP 在隐藏元素的 value 属性中输出。所以最终的 HTML 看起来像:

<input type="hidden" name="someName" id="someID" value="javascript:alert(1);"/>

此值通常用于使用 JavaScript 填充下拉菜单。如果为 1，则显示可选的搜索过滤器，如果为 0，则不显示任何内容。所以它只用于失败的字符串比较。

我看不出有什么办法可以利用它，警报不会像 ZAP 向我展示的其他攻击那样运行。输出经过编码，因此它们无法像以前发现的攻击那样通过以 "/> 结束引号或元素来注入(inject) HTML，因为这些字符成为它们的 HTML 实体对应物。

这是否只是 ZAP 与页面源中的输入字符串匹配的误报，因为编码 javascript:alert(1); 仍然等于 javascript:alert(1 );?

Answer 1

该漏洞意味着 ZAP 设法将任意代码插入该输入字段。这意味着您很可能不会在应用的某处验证用户输入。

您应该更加小心地生成该输入字段，并确保用于生成它的 GET 参数相应地有效。

请记住，安全总比后悔好(即您的应用遭到入侵)。