如果你有个论坛,一般你会很注意用户发帖的注入问题,往往这个地方不会被注入,因为开发特别照顾。原则上XSS都是用户输入的,但是许多边角还是容易忽略。枚举一些检查点。
分页
分页通用组件获取url,修改page之后生成分页样式的HTML,最容易忽略XSS注入。
错误提示
即使攻击对象无法正常打开网页,XSS注入也已经完成。反馈错误提示页面如果包含用户输入的内容。比如:"标题x 中包含 ** 是不允许的"。有一些SQL报错提示也会带上用户输入内容。
搜索
搜索词一般没有硬性要求去掉某些字符,和分页一起很容易产生注入
审核后台、其他用户提交内容的管理后台。
用户输入的内容不一定是对付其他用户的,后台的设计缺陷也可能导致xss,比如审核后台,本来是审核用户提交内容是否安全,但是很可能自己中招。
任何富文本编辑器提交的内容
富文本编辑器提交内容本身带有大量HTML代码,同时保证用户的自由编辑和安全是非常困难的。可以找一些开源过滤方案。