Ten opis jest nieco mylący w sposobie, w jaki jest sformułowany. Strona dostarczona przez serwer, gdy ktoś o to poprosi, pozostaje niezmieniona. Zamiast tego atak XSS wykorzystuje słabość strony, która zawiera zmienną przesłaną w żądaniu pokazania się w formie nieprzetworzonej w odpowiedzi. Strona zastanawia się tylko nad tym, co zostało zgłoszone w tym żądaniu ... ale treść tego żądania może zawierać znaki, które odrywają się od zwykłej zawartości tekstowej i wprowadzają treści HTML lub JavaScript, których programista nie zamierzał.
Oto krótki przykład. Załóżmy, że masz jakiś szablonowy język do tworzenia strony HTML (np. PHP, ASP, CGI lub skrypt Velocity lub Freemarker). Przejmuje następującą stronę i zastępuje "<? = $ Name? >" z wartością bez zmiany wartości parametru zapytania "nazwa".
<html>
<head><title>Example</title></head>
<body>Hi, <?=$name?></body>
</html>
Ktoś dzwoni tę stronę z adresem:
http://example.com/unsafepage?name=Rumplestiltskin
należy się spodziewać, aby zobaczyć tę wiadomość:
Hi, Rumplestiltskin
Wywołanie tej samej strony z czymś więcej złośliwego mogą być używane do zmiany strony lub użytkownika znacznie.
http://example.com/unsafepage?name=Rumplestiltskin<script>alert('Boo!')</script>
Zamiast po prostu mówiąc: "Cześć, Rumplestiltskin", ten adres URL może również spowodować, że strona pop-up komunikat ostrzegawczy, który mówi: "Boo!". Jest to oczywiście uproszczony przykład. Można podać zaawansowany skrypt, który przechwytuje naciśnięcia klawiszy lub prosi o weryfikację nazwy i hasła, lub czyści ekran i całkowicie przepisuje stronę z zawartością szoku. Wciąż będzie wyglądać tak, jakby pochodziła z witryny example.com, ponieważ sama strona to zrobiła, ale treść jest dostarczana gdzieś w żądaniu i po prostu odzwierciedlona jako część strony.
Jeśli strona po prostu odpycha zawartość dostarczoną przez osobę, która jej zażądała, a żądasz tej strony, w jaki sposób haker zaraża TWOJĄ prośbę? Zwykle odbywa się to poprzez udostępnienie linku na stronie internetowej lub przesłanego do Ciebie pocztą elektroniczną lub w żądaniu skróconym pod adresem URL, więc trudno jest dostrzec bałagan w adresie URL.
<a href="http://example.com?name=<script>alert('Malicious content')</script>">
Click Me!
</a>
Nic na serwerze nie jest "zainfekowane".XSS to tylko sztuczka, która sprawia, że wygląda na to, że pochodzi z serwera, gdy strona tego serwera jest w stanie powtórzyć to, co jest wysyłane.
możliwe duplikat [? Co to jest Cross Site Script Inclusion (XSSI)] (http://stackoverflow.com/questions/8028511/what-is- cross-site-script-inclusion-xssi) –