Нужно ли защищаться от XSS, который вставлен в GET запрос (Я попробовал написать в page значение alert(1), но ничего не произошло)?

Question

[sorry_i_noob]

Здравствуйте. В интернете я читал, что...

Например, страница такого типа http://yourdomain.ru/catalog?p=3 Может оказаться большой дырой в защите сайта.
Подобно действиям проделанным ранее в поле ввода, попробуте подставить в параметр вышеперечисленные строки кода.

http://yourdomain.ru/catalog?p="><script>alert("cookie: "+document.cookie)

Вполне вероятно что вы вновь получите сообщение.

Я попробовал проделать это на своем сайте, но никакого сообщения не получил. И так, нужно ли как-то обрабатывать GET параметры, чтобы защититься от XSS или нет?

Comments

[dollar]

Нужно экранировать символы во всех входящих данных от клиента.
Это основы основ.

[stratosmi]

dollar,

Нужно экранировать символы во всех входящих данных от клиента.
Это основы основ.

Не нужно.
Просто нужно голову включать.
Хотя бы иногда.
В современных инструментах эти вещи экранируются зачастую уже.

[dollar]

Смысла это не меняет. Надо экранировать самому или выбирать инструменты, которые делают это за тебя.

[snap44]

dollar, основы основ чего? Что почитать на эту тему? А то сколько всего перечитал и только в одном учебнике по JS натолкнулся на эту тему. Так бы и не слышал никогда про xss

[dollar]

snap44, основы основ безопасности сайтов. Где почитать, не знаю, может на хабре. Но экранирование и правда относится к базовым вещам, которые надо знать. Это не только XSS, но и SQL Injection.
Вообще если думать головой, то всех этих названий можно и не знать. Главное, не допускать уязвимостей в своей архитектуре, как бы они ни назывались.

Answer 1

[eRKa]

Защищаться надо если значение этого параметра будет вставляться как есть в html разметку, там Ваш алерт отработает. Если в разметку он не попадет, то он и не отработает. Но нет гарантии, что в процессе разработки кто-то забудет сделать sanitize на Ваш параметр, поэтому об этом надо думать в тот момент когда принимаете данные с формы или отображаете параметры с url.