Атака XSS с javascript в атрибуте img src

Некоторые старые браузеры уязвимы для XSS-атак.

<img src="javascript:alert('yo')" />

Текущих версий IE, FF, Chrome нет.

Мне любопытно, уязвимы ли какие-либо браузеры для подобной атаки:

<img src="somefile.js" />

or

<iframe src="somefile.js" />

или что-то подобное, где somefile.js содержит какой-то вредоносный скрипт.


security xss
person Matthew    schedule 25.11.2009    source источник
comment
Как насчет того, чтобы попробовать и убедиться в этом лично?   -  person Piskvor left the building    schedule 26.11.2009
comment
Я делал с современными версиями IE, FF и Chrome. У меня нет старых браузеров, поэтому я и спросил.   -  person Matthew    schedule 02.12.2009

Ответы (3)


arrow_upward
5
arrow_downward

Нет. Данные изображения никогда не выполняются как JavaScript. Если src является ссылкой JavaScript, JavaScript выполняется, но основное чтение данных, поступающих из запроса к src, не включает JavaScript.

person Eli Grey    schedule 25.12.2009
comment
Что с фреймворком? Сказанное выше относится и к нему? - person jmishra; 16.01.2012
comment
Нет, тогда JavaScript тоже не выполняется. - person Eli Grey; 16.01.2012
comment
Не совсем так. Есть несколько XSS-атак, которые могут запускать JS внутри image src. - person nrofis; 23.12.2019

arrow_upward
47
arrow_downward

Все основные браузеры по-прежнему уязвимы для этих атак. Существует множество способов использования тегов img. Например...

<img src='#' onerror=alert(1) />

Ищите шпаргалку xss от RSnake, это всего лишь несколько векторов. Кстати, я слышал, что он скоро выпустит новую версию своей шпаргалки.

person pcp    schedule 05.12.2009
comment
Хороший трюк, но если есть уязвимость XSS и веб-сайт правильно использует заголовки CSP, он не сработает. Я попробовал этот код в консоли браузера на securityheaders.com: var img = document.createElement("img"); img.setAttribute("src", "#"); img.setAttribute("onerror", "alert(1);"); document.body.appendChild(img); Сообщение об ошибке: Content Security Policy: The page’s settings blocked the loading of a resource at self (“script-src”). Source: onerror attribute on IMG element. - person baptx; 16.05.2018

arrow_upward
1
arrow_downward

здесь вы можете найти вектор атаки XSS http://ha.ckers.org/xss.html

person Soup    schedule 25.12.2009
comment
свежая ссылка Шпаргалка по уклонению от XSS-фильтра - person mazenovi; 27.07.2015