html - 能否从 CSS 文件执行恶意代码？

Question

我目前有一个表单允许管理员更改网站上的基本 CSS 属性。我正在考虑为高级管理员创建一个表单，它将在文本区域内显示整个 CSS 文件并允许他们自由编辑它。我不担心文件被删除，因为它可以很容易地恢复。我担心的是有人可能会向 CSS 文件添加一些代码，这可能会对 Web 服务器造成重大损害。是否可以从 CSS 文件执行恶意代码？

Answer 1

是的，有一些XSS考虑的风险。 XSS 不会直接使用恶意代码攻击您的网络服务器。这是通过他们自己的浏览器对您系统的其他用户的攻击。基本上，它是一个基于浏览器的代码执行缺陷，尽管受限于 JavaScript 的功能(虽然很多，但无法从浏览器沙箱中逃脱)。

当您让他们编辑 CSS 文件 中的文本时，这会减轻一些只有在 HTML 文档中嵌入 CSS 时才有可能发生的攻击(例如通过 STYLE="" 属性和<style> 标签)。

但是，仍然存在以下风险:

• JavaScript expression指令允许将 JavaScript 插入到 CSS 样式表中。请注意，这仅影响 Internet Explorer 版本 8 及更早版本。
• url指令可以允许 JavaScript: Internet Explorer 6 上的样式 URL。
• 通过 -moz-binding 执行脚本在 Firefox 2 和 3 上可用。 Google Browser Security Handbook自 Firefox 3 以来似乎没有更新。This post表示现在已修复此问题，因此必须可以从您自己的域读取 XML 文件。当前版本的 Firefox 似乎无法使用 XBL。
• 在 Internet Explorer 10 及更早版本中 HTML Components允许在 CSS 中执行脚本。

请注意，允许用户更改您的 CSS 使他们能够自由定位文本。这将使恶意用户能够用他们的 CSS 代码模仿受信任的 UI 元素，并可能能够用新呈现的页面来欺骗用户。这在很大程度上取决于当前的功能和网站其余部分的意图。一定要牢记这一点。