Ist window.location = window.location anfällig für XSS

Question

Diese Frage bezieht sich auf den Code window.location = window.location als eine Methode, um die Seite zu aktualisieren, und betrifft nicht Umleitungen/andere Variablen.

Mein Verständnis ist, wie folgt:

window.location = window.location bewirkt, dass die Seite zu aktualisieren, da der Browser auf die gleiche Stelle navigiert der Benutzer bereits eingeschaltet ist.

Jede Änderung dieser Variablen über DOM-Manipulation führt dazu, dass die Seite die Angreifer-Seite neu lädt/lädt. Daher können diese Zeilen nicht mit einem geänderten Wert ausgeführt werden und sind daher nicht für Cross-Site-Scripting-Angriffe geeignet.

Ist das korrekt?

Edit: Was ich wirklich bin gefragt ist, wenn es einen Weg gibt window.location zu ändern, ohne dass eine Seite neu geladen verursacht, so dass dann, wenn der window.location = window.location Anruf getätigt wird, wird der Browser an einen anderen Ort gesendet werden.

Answer 1

Das Problem hat nichts mit window.location zu tun, und alles damit zu tun, wie Sie mit willkürlichen Daten umgehen, die in einem neuen Kontext verwendet werden.

Wenn Sie Eingaben von einer URL verwenden und diese verwenden, um eine neue URL zum Weiterleiten zu erstellen, dann öffnen Sie sich für Probleme. Nehmen Sie die klassische umadressierenseite ...

http://example.com/redirect?url=http%3A%2F%2Fsomethingevil 

Wenn JavaScript auf der Seite ist, die dann window.location auf den Wert der Abfrage-String-Parameter setzt url, dann wird die Seite zu http://somethingevil gehen.

Die Hauptmethode, in der XSS ausgeführt wird, besteht darin, dass Abfragezeichenfolgenparameter Daten in die Seite selbst einfügen. Beispielsweise haben Sie möglicherweise eine Seite mit dem Namen "Hello Brad", wobei "Brad" von dem URL-Parameter name stammt. Angenommen, ein Angreifer setzt stattdessen die URL auf name=%3Cscript%20src%3D%22http%3A%2F%2Fexample.com%2Fevil.js%22%3E%3C%2Fscript%3E. Wenn ich nur den Wert name direkt in die Seite injiziere, wird mein Skript evil.js auf dieser Seite ausgeführt. Wenn ich stattdessen die Daten ordnungsgemäß entkomme, kann sie in der Seite verwendet werden, da sie als Text interpretiert wird.