А как вы проверяете уязвимости на сайте XSS атак?

Question

[Ришат Султанов]

Добрый день.
Скажите пожалуйста как вы работаете с XSS атаками.
Вот я на винде часто просто в поля вставлял JS код и видел что да как.
Но там я использовал Internet Explorer. Он с радостью выводил JS код который был отправлен как XSS атака.

Ноо в таких браузерах как Google Chrome. Мазила и тд. Никак не могу вывести JS XSS атаку..

Может где-то включается это в браузерах ? Защищены как я понял браузеры от этого.

Answer 1

[Андрей Саныч]

Есть такой заголовок как X-XSS-Protection, который управляет защитой от XSS. Про этот и другие заголовки читайте тут https://habrahabr.ru/post/317720/

Comments

[Ришат Султанов]

Да, все верно :) Спасибо :) Очень интересная статья.
Но меня сейчас не это интересует.
Меня интересует возможность стать жертвой XSS атаки. Так сказать. Чтобы код который я вставил в уязвимое поле. Отработал в современном браузере. Но такого не происходит. Значит там есть защита. Да и Вашей статье об этом говорится :)
Internet Explorer не хочет защищать меня от XSS неуязвимые поля. Он выводит скрипт и делает меня жертвой. Чего я и добиваюсь на современных браузерах достичь :)

[Андрей Саныч]

Ришат Султанов, Ну так попробуйте отдавать сервером заголовок X-XSS-Protection: 0 и посмотреть что будет

Answer 2

[kidar2]

Браузеры не предоставляют такую защиту. Разработчик сам должен заботиться об экранировании вывода пользовательских данных.

Comments

[Ришат Султанов]

Почитайте лучше о браузерах.

[MisoiFosti]

Ришат Султанов, но всёж вам лучше на эту защиту не надеятся, ведь, как бы... кто мешает юзать старьё? ;)

[Ришат Султанов]

MisoiFosti, Да дело не в этом :) Я хочу новье защиту обойти :D Чтобы мне было видно где есть проблемы. А то защита браузера все решает. А на старых как-то не кашерно.

Answer 3

[Антон Иванов]

Рекомендую https://bbs.ptsecurity.com/ru

Answer 4

[Дмитрий]

Используйте Burp Suite!

Answer 5

[Xrizolin]

Йоу.
Основная причина возникновения XSS - отсутствие фильтрации пользовательского ввода на (&, <, >, ", ')

Большинство современных ORM, шаблонизаторов в языках выполняют эскейпинг пользовательских данных, что должно защищать от XSS. К сожалению часто разработчики выключают эти проверки руками.
Смотри этот полный читщит https://www.owasp.org/index.php/XSS_(Cross_Site_Sc...

Кстати, я один из разработчиков сканера уязвимостей, в том числе и XSS - https://metascan.ru