Попытка использовать?

Я увидел, что на моем сайте nopCommerce был зарегистрирован поиск по:

ADw-script AD4-alert(202) ADw-/script AD4-

Мне немного любопытно, что они пытались сделать. Я немного искал и, видимо, ADw-script AD4- кодирует в UTF7 в <script>, Но почему alert(202)?

Они просто проверяли уязвимости?

Было зарегистрировано больше попыток взлома, и я задал новый вопрос о них здесь: попытка взлома, что они пытались сделать и как я могу проверить, удалось ли им?

Источник

4 ответа

Решение

Кто-то проверяет, есть ли у вас уязвимость UTF-7, чтобы использовать ее позже. UTF-7 использует только символы, которые обычно не считаются вредными. Вы всегда используете мета-кодировку в своем HTML?

Всегда используйте мета-кодировку как можно выше в вашем HTML, например так:

<!doctype html>  
<html lang="en-us">
<head>
  <meta charset="utf-8">
  ...

и вам не придется беспокоиться о XSS-атаках на основе UTF-7.

Источник

Да, они просто проверяли, уязвим ли ваш сайт для XSS.

Читайте http://www.cgisecurity.com/xss-faq.html

и Rsnakes XSS шпаргалка

http://ha.ckers.org/xss.html

для получения дополнительной информации

Источник

Предположительно видя alert(202) Выполнение позволит злоумышленнику решить, возможно ли внедрить JS на вашу страницу. Другими словами, да, вас, вероятно, проверяют.

Источник

Если вы хотите быть в безопасности от этих типов инъекций, вы должны указать тип контента.

Попробуйте по возможности поместить Content-Type в заголовки вместо метатегов. Если вы хотите сделать это в php, вы можете сделать

<?php
    header('Content-Type: text/html;charset=utf-8');

в верхней части вашего приложения PHP. Если по каким-либо причинам вы не можете этого сделать, вы можете поместить это в свои метатеги:

<!DOCTYPE HTML>
<html>
    <head>
        <meta charset="utf-8">
        ....Rest of your page
Источник
Другие вопросы по тегам