html - 是否可以通过带有JSP代码的html注释进行XSS攻击？

Question

下面的代码是否真的在某些 JSP 页面中添加了 XSS 漏洞？

<!--    <%=paramName%>=<%=request.getParameter(paramName)%><BR>  -->

它看起来像是“遗留调试”，绝对应该从代码中删除，但它有多危险？

Answer 1

是的，您看到的是反射型 XSS 攻击。这很危险，因为它允许攻击者劫持经过身份验证的 session 。如果您的系统上运行此代码，攻击者将能够访问其他人的帐户，而无需知道他们的用户名/密码。

XSS漏洞也可以用来绕过CSRF protection .这是因为 XSS 允许攻击者使用 XmlHTTPRequest 读取 CSRF token 的值。 XSS 也可以用来欺骗 referer 检查。

这是手动测试xss的简单方法，这里我打破了HTML注释来执行javascript。

http://localhost/xss_vuln.jsp?paramName='--><script>alert(document.cookie)</script><!--' 

这是一个免费的 xss scanner ，您应该测试您编写的所有应用程序。