XSS - Welche Browser automatisch URLs in der Adressleiste entkommen?

Ich habe einige vor kurzem xss/javascript-injection/penetration-testing auf meine asp.net Website durchführen und bemerkte, dass moderne web-browser (dh neueste FF und Chrome) sind auf der Flucht URLs in die Adressleiste eingegeben.XSS - Welche Browser automatisch URLs in der Adressleiste entkommen?

So:

http://example.com/search/?q= „> < script> alert ('Hallo'); </script>

auf meinen Server als gesendet wird:

http://example.com/search/?q=%22%3e%3cscript%3ealert(%27hi%27)%3b%3c%2fscript%3e

Gibt es eine Liste aller (großen) Browser, die dies tun und denen, die dies nicht tun? Machen mobile Browser das?

Quelle

2014-09-09 Philip Pittle

Ich denke, alle Browser entkommen die URLs mit Ausnahme derjenigen, die Bugs haben und RFCs nicht folgen (RFC3986).

Quelle

2014-09-09 13:18:33

Wissen Sie, welche RFC aus der Hand? –

Wie nach RFC3986 http://tools.ietf.org/html/rfc3986 '2.4. Einmal produziert, ist ein URI immer in seiner prozentcodierten Form. "Und wo" Abfrage "enthalten kann codiert, ALPHA, DIGIT oder wenige andere nicht enthalten. "<" and ">" sind keine von ihnen, sie müssen codiert werden. Auf der anderen Seite, einige Buggy-Browser (Sie wissen, ich meine IE) akzeptiert Unicode-Zeichen in der vorherigen Version falsch. –

Das klingt ein bisschen seltsam für mich. Der RFC ist fast 10 Jahre alt, aber keines der Beispiele auf XSS, das ich gesehen habe, hat jemals erwähnt, dass FF und Chrome im Allgemeinen immun gegen schlechte Links sind, da sie URLs richtig entgehen und es ist nur ein IE-Problem. Ich sage nicht, dass es falsch ist, aber haben Sie weitere Beweise? –

Wenn ich mich nicht irre, können Sie http://browsershots.org/ oder etwas ähnliches verwenden, um es zu testen.

Beispieltest: http://browsershots.org/requests/12461378

Quelle

2014-09-09 13:22:04 Margus

Schönes Werkzeug, aber nicht wirklich für diesen Zweck . Gehen Sie durch all diese Screenshots, nur um die URL zu sehen. – MarioDS

@MDeSchaepmeester Idee ist, dass, wenn diese Injektion funktioniert, Sie Popup auf dem Bild sehen würden. Dies ist nicht der beste Browser-Viewer (Bilder werden sehr schnell abgelaufen), aber die Idee bleibt. – Margus

Sorry, ich hätte klarer sein sollen, das obige Beispiel ist nur syntaktisch, es zeigt keinen wirklichen Angriff. Während dieses Tool ziemlich cool ist, ist es leider nicht nützlich (AFAIK). Die wichtigsten Browser, die ich ausprobiert habe (FF, Chrome, IE), verschleiern die Tatsache, dass sie das tun. Mit anderen Worten, Sie können nicht aus der Adressleiste erkennen, dass die URL maskiert wurde. –

XSS - Welche Browser automatisch URLs in der Adressleiste entkommen?

Antwort

Verwandte Themen