Warum sollten wir Code Injection in Javascript beachten?

Question

Ich habe gerade recherchiert, warum die Verwendung eval() Funktion ist schlecht und ich fand einen Grund, anfällig für Code-Injektion Angriffe (Post: Why is using the JavaScript eval function a bad idea?).

Aber meine Frage ist, müssen wir unbedingt über die Code-Injektion in Javascript besorgt sein? Wenn ein Benutzer ein JS-Skript für eine Website ausführen möchte, kann er dies tun, indem er in der Konsole ausgeführt wird.

Also, ich frage mich nur, was für zusätzlichen Schaden es tun kann, wenn jemand erfolgreich ist, seinen Code in meinen Javascript-Code zu injizieren?

EDIT
Basierend auf Antwort des Oleander unten, ich einen Weg, der Verwundbarkeit gefunden, wenn wir die Kommunikation zwischen dem Browser und dem Server über AJAX aufruft. Das macht vollkommen Sinn. Aber ich habe vielleicht Javascript-Programme, die nur im Browser laufen und keine Kommunikation zum Backend haben, zum Beispiel einen Rechner oder ein einfaches Spiel. Also meine Zusatzfrage, gibt es irgendeinen anderen Grund, der diese Programme angreifbar machen kann?

Answer 1

Sicherheitsprobleme treten auf, wenn ein Hacker schädlichen Code in eine JSON-Anfrage eingibt, die von einem Benutzer erstellt wurde und die dann mit eval ausgewertet wird.

Stellen Sie sich vor der folgende Code lief wird

$.get("/get.json", function(data){ 
    var obj = eval(data) // String to javascript object 
}); 

Die Ressource wie folgt aussieht

GET /get.json 
{ 
    some: "data" 
} 

Aber ein Angreifer ersetzt die oben mit einem jetzt man in the middle attack

function(){ 
    // send window.cookie to attacker 
}(); 

Der Angreifer mit Zugriff auf die Benutzersitzung haben.

Answer 2

Nun, wenn Ihr Code einen Wert aus der Query-Zeichenfolge nimmt und in einem Eval verwendet, könnte ein Angreifer sein Opfer dazu verleiten, die URL zu besuchen, die den bösen Query-String enthält.

Von OWASP:

<script> 
function loadObj(){ 
var cc=eval('('+aMess+')'); 
document.getElementById('mess').textContent=cc.message; 
} 

if(window.location.hash.indexOf('message')==-1) 
    var aMess="({\"message\":\"Hello User!\"})"; 
else 
    var aMess=location.hash.substr(window.location.hash.indexOf('message=')+8); 
</script> 

Der Angreifer kann eine E-Mail senden Link oder umleiten einen Benutzer den Besuch ihrer bösartigen Website an die URL

http://example.com/page.html?message=<img onerror="alert(xss)"> 

Dann haben Sie eine DOM basierten XSS-Angriff enthält.

Wenn sich Ihr Spiel ohne Back-End auf einer Website mit anderen vertraulichen Informationen befindet, z. B. Benutzersitzungen, ist es möglicherweise möglich, dass der Angreifer Sitzungscookies stiehlt oder Anmeldedaten einholt. Es hängt alles davon ab, auf was das JavaScript zugreifen kann. Das heißt, es hat vollen Zugriff auf seine Hosting-Domain, da die Same-Origin-Richtlinie darauf beschränkt ist. Wenn Sie jedoch andere sensible Anwendungen hier haben, könnten sie kompromittiert werden. Wenn nicht, kann der Angreifer im schlimmsten Fall das Vertrauen eines Nutzers in Ihre Website missbrauchen, indem er Inhalte ändert oder überwacht, was Nutzer auf Ihrer Website tun.