Cross-site scripting: Porovnání verzí
Smazaný obsah Přidaný obsah
→Na straně uživatele: typo |
→Typ 1: Dodána čárka před "že" značky: editace z mobilu editace z mobilního webu |
||
Řádek 4:
=== Typ 1 ===
Většinou se označuje jako '''lokální''' nebo '''DOM based.''' Lze ji využít i na statických stránkách a jde o neošetřené přenesení proměnné z [[Uniform Resource Locator|URL]] adresy do [[javascript]]u.
Pro ilustraci si představme, že máme html stránku s následujícím kódem:
<SCRIPT>
var pos=document.URL.indexOf("jmeno=")+6;
Řádek 15:
a tím vykoná zákeřný kód.
Tento vektor útoku (stejně jako u typu 2) stojí a padá na přístupu přes upravenou url a většinou je takto i snadno odhalitelný pomocí prosté logiky. Pokud na stránku přijdete přes normální odkaz, tak se zachová tak jak má.
=== Typ 2 ===
| |||