Czy dołączenie zewnętrznego pliku CSS jest bezpieczne, czy może doprowadzić do wstrzyknięcia kodu?

Question

Pracuję nad witryną, której będą używać klienci, umieszczając ją w elemencie iframe w swojej witrynie. Chcę dać im możliwość dostosowania wyglądu treści, tak aby pasowały do ​​stylu ich witryny.

Podstawową ideą, jaką mam, jest umożliwienie im podania adresu URL do pliku CSS, który powinienem umieścić na stronie, którą podaję, aby wypełnić element iframe. O ile mi wiadomo, jest to bezpieczne, ale nie jestem szczególnie zaznajomiony z CSS (szczególnie nowszymi wersjami), więc chcę to zweryfikować.

Czy jest jakiś sposób, aby ktoś mógł skonstruować plik CSS, który pozwoliłby mu wprowadzić kod do mojej witryny lub uzyskać w inny sposób dostęp do plików cookie mojej domeny? Czy to naprawdę bezpieczne, czy muszę wymyślić inne rozwiązanie?

Answer 1

Nie jest to niebezpieczne. expression i -moz-binding to znane sposoby powodowania wykonywania dowolnych skryptów w niektórych przeglądarkach za pośrednictwem CSS. LiveJournal padł ofiarą bardzo publicznego ataku XSS, spowodowanego przez JavaScript osadzony w CSS dostarczonym przez użytkownika.

Z Mozillą decydującą o zezwoleniu na wykonanie dowolnego JavaScriptu za pomocą CSS, nie ma innego realnego rozwiązania niż to, które podjęliśmy.

Od Caja's attack vector wiki:

Crafted arkusze stylów CSS można wykonać unsanitized JavaScript w globalnym zasięgu w niektórych przeglądarkach.

Tło

CSS zawiera kilka mechanizmów umożliwiających zmianę otaczającego znaczników i wykonywania wyrażeń.

IE ma rozszerzenie, które pozwala na wykonanie dowolnego javascriptu. Właściwość expression jest opisana jako http://msdn2.microsoft.com/en-us/library/ms537634.aspx

Korzystając z potęg właściwości dynamicznych, możliwe jest zadeklarowanie wartości właściwości nie tylko jako stałych, ale także jako formuł. ... W przypadku skryptów właściwość dynamiczna może być dowolną legalną instrukcją JScript lub Microsoft Visual Basic Scripting Edition (VBScript). http://msdn2.microsoft.com/en-us/library/ms533503.aspx

binding umożliwia wiązanie do określonych zewnątrz skrypty http://developer.mozilla.org/en/docs/CSS:-moz-binding & http://developer.mozilla.org/en/docs/XBL:XBL_1.0_Reference:Elements#binding

-moz-binding umożliwia wiązanie poprzez interfejs XML (również na podstawie danych: URL)

Założenia

kod niezaufane generuje elementy stylu lub atrybuty stylu lub w inny sposób dodaj arbiter y Reguły CSS i tworzenie elementów DOM, które wyzwalają te reguły.

Wersje

IE 5 i później (ale nie IE 8 lub później w "trybie standardowym").

Mozilla/Firefox, wersje nieznane.