xss - 是否有可能在静态页面(即没有 PHP)上受到 XSS 攻击？

Question

我工作的一个客户神秘地在他们的网站上运行了一些恶意脚本。然而，我有点困惑，因为该网站是静态的，不是动态生成的——没有 PHP、Rails 等。不过在页面底部，有人打开了一个新标签和一个脚本。当我在网络服务器上打开文件并剥离恶意内容并重新上传时，它仍然存在。这怎么可能？更重要的是，我该如何应对？

编辑:更奇怪的是，我只是注意到如果页面直接作为“domain.com/index.html”而不是“domain.com”访问，脚本只会显示在源代码中。

编辑2:无论如何，我在网络服务器上发现了一些 php 文件 (x76x09.php)，尽管我试图从脚本中删除它，但它肯定一直在更新 html 文件。我目前是安全的，但我必须做一些工作来确保流氓文件不会再次出现并引起问题。如果有人对此有任何建议，请随时发表评论，否则感谢大家的帮助!非常感谢!

Answer 1

不，除非有人可以访问您的文件，否则这是不可能的。因此，在您的情况下，有人可以访问您的文件。

编辑:最好在 serverfault.com 上询问在服务器受到威胁时该怎么做，但是:

• 更改您的 shell 密码
• 查看/var/log/messages 以获取登录尝试
• 指根
• 查看这些文件的最后修改时间

还有一个很高的可能性是，通过使用您与静态文件一起使用的软件组件的漏洞，通过 http 更改文件。