XSS登錄頁面

Question

這是一個理論問題。

假設我有一個包含三個元素的登錄頁面：用戶名文本框，密碼文本框，登錄按鈕。我清理輸入並啓用配置中的請求驗證。

該網站仍然可以通過哪些方式容易受到XSS？ （假設網站上沒有其他頁面可以被未經認證的用戶訪問）

Answer 1

簡單頁面上不會有XSS;除非你使用javascript解析頁面參數並將它們嵌入到頁面中（例如，「email@address.com的密碼錯誤」，其中email@address.com來自輸入字段，未正確消毒）。

Answer 2

XSS對靜態不是威脅。 XSS是一種威脅，來自惡意用戶的內容能夠被其他用戶查看。

一個簡單的例子是Facebook郵件或Twitter郵件，它惡意嵌入JavaScript，以便在其他人在其時間線上查看時執行。

在單個靜態頁面中，這不是威脅。它可能成爲一種威脅的方式是，如果該頁面具有用戶可以輸入內容的評論功能。 XSS成爲威脅的另一種方式是他們自己註冊一個描述或用戶名，這是一個javascript字符串。您提供了一個列出最新註冊用戶的頁面，現在他們的JavaScript在頁面上變爲活動狀態。

如果用戶無法獲取內容到您的頁面，XSS不會發生。

需要關注的是任何時候你將原始輸出放到頁面上，無論它來自查詢字符串還是來自無主服務器。如果有人可以將您託管在CDN上的jQuery的副本替換爲惡意jQuery，那將引入XSS。

注意第一頁，ASP.NET和IIS在保護您免受XSS攻擊方面走的很遠。如果您不禁用ASP.NET和IIS的安全功能，則絕大多數矢量都不受惡意代碼提交給服務器的用戶的保護。這並不是說這是不可能的，但內置的保護功能非常強大，除非你禁用它們。