Ruby on Rails神祕的Javascript提醒框與Cookie信息

我在Ruby on Rails應用程序中遇到問題，我正在處理。我一直在研究這個應用幾個月，在Google搜索之前和之後我從來沒有遇到過這個問題，我認爲有人試圖用JavaScript來竊取cookie。Ruby on Rails神祕的Javascript提醒框與Cookie信息

當我點擊鏈接我得到一個名爲警告框的「在www.napkinboard.com頁說：」和包含以下消息：

__utmz=217223433.1270652009.59.3.utmcsr=localhost:3000|utmccn=(referral)|utmcmd=referral|utmcct=/; __utma=217223433.2133018314.1265749085.1271097412.1271125626.63; __utmc=217223433; __utmb=217223433.11.10.1271125626

我檢查了數據庫，並與相關的所有數據這個'food_item'看起來完全正常，根本不包含任何javascript。

這是怎麼突然發生的？我該怎麼辦？我感謝任何幫助。謝謝。

編輯：不敢相信，我忘了網址：http://www.napkinboard.com/food_items/413

來源

2010-04-13 conorgil

你點擊了什麼鏈接？ – SLaks 2010-04-13 02:43:17

這聽起來像你已經找到了利用使用查詢字符串的XSS漏洞的鏈接。

確保正確地轉義所有輸出。

來源

2010-04-13 02:44:07 SLaks

我剛剛編輯帖子，以包括我可笑地忘記包括的網址：http://www.napkinboard.com/food_items/413。我絕對需要確保轉義所有輸出，但是這個URL中沒有查詢字符串對嗎？所以我不知道這可能是這個問題。我之前點擊了此鏈接，並沒有出現警告框。 – conorgil 2010-04-13 03:03:51

我發現用戶輸入他們的評論爲「」，因此您絕對正確。我打印評論：<％= h @ napkin.comment％>所以不應該輸出正確逃脫？ – conorgil 2010-04-13 04:04:50

加載firefox和firebug，並查看javascript和網絡堆棧跟蹤顯示的內容。這應該讓你知道它來自哪裏，等等。

來源

2010-04-13 02:46:34 dhoss

Ruby on Rails神祕的Javascript提醒框與Cookie信息

回答

相關問題