크로스 사이트 스크립팅 - 숨겨진 양식 필드

Question

내 응용 프로그램이 침투 테스트되었습니다.

플래그가 지정된 XSS 항목 중 하나는 숨겨진 양식 필드를 사용하여 브라우저/검색 화면에 레코드 ID를 저장 한 다음이 ID를 사용하여 전체 레코드를 여는 것입니다. (게시물을 통해)

이것이 XSS 공격에 대해 고심하고 있습니다. 내가 놓친 게 있니?

Answer 1

해당 값을 변경하여 양식을 제출하면 어떻게됩니까?

실제 데이터베이스 ID가 노출되면 다른 사용자의 DB 행에 액세스 할 수 있습니다.

데이터베이스 ID를 노출하고이를 SQL 쿼리에서 사용하는 경우 SQL 쿼리가 해당 ID에 대해 바인드 변수를 사용하거나 (올바르게 이스케이프 처리하지만 바인드 변수가 더 좋음) 반드시 확인하고 비즈니스 규칙 검사를 수행해야합니다 id에 해당하는 행이 현재 응용 프로그램 사용자에게 실제로 표시되어야하는지 확인하십시오.

이것은 실제로 XSS 문제는 아니지만 확실히 보안 문제입니다.

Answer 2

숨겨진 필드의 입력을 필터링하지 않을 수도 있습니다. 숨겨진 필드 자체는 xss 공격 벡터가 아닙니다.

Answer 3

숨겨진 필드의 입력을 필터링하지 않을 수도 있습니다. 숨겨진 필드 자체는 xss 공격 벡터가 아닙니다.

는. 항상 확인하는 사용자와 필터 입력을 제안 모르는 그것을 테스트하기 위해 시도하지 않는 한 보안의 잘못된 감각을 전달하지 않아? "당신이 있는지 '없음 XSS 공격 벡터이다.