javascript - 当 cookie 是安全的且仅 Http 时，通过 POST 请求反射的 XSS 仍然会造成什么损害？

Question

我正在查看一个网站，该网站在 POST 操作中存在经过验证的反射型 XSS 漏洞。我不确定攻击者可以在这里进行什么样的攻击。<​​/p>

• Cookie 均被标记为安全且 HttpOnly，因此恶意 JavaScript 无法窃取它们。

• 该漏洞仅在 POST 请求完成时才会显示，而不会在 GET 请求完成时显示，因此该漏洞无法通过创建以合法域开头的 URL 轻易地用于网络钓鱼。

• 使用它来劫持网络浏览器以将其转发到恶意网站似乎没有必要，您必须访问具有 HTML 或 JavaScript 代码的恶意网站才能使浏览器将 POST 提交到网站。

我错过了什么？此漏洞是否仍可用于恶意目的？

Answer 1

XSS 是指攻击者可以从您的网站外部发出 GET 或 POST 请求，并将自己的内容注入(inject)到您的页面中。只要在未转义的响应中使用请求中的数据，就可能出现 XSS。

一旦实现 XSS，攻击者可以做什么？您应该认为答案是“任何”。

我的首选示例通常是这样的:

攻击者注入(inject)代码来用您的登录页面替换该页面的任何内容，并且他们做得很完美，您的用户无法分辨出区别。但“假”登录页面会将用户的用户名和密码发送给攻击者，并让用户登录，这样他们甚至不会意识到这是假的。