Есть “server-side xss”, т.е. хакер отправляет htmlку, в которую вставляет

Question

Есть “server-side xss”, т.е. хакер отправляет htmlку, в которую вставляет

а-ля iframe src=file:///etc/passwd, потом из этой htmlки генерится PDF на сервере и отдается хакеру(соответственно уже с содержимым файла)
Что можно сделать в качестве защиты от такой штуки? сейчас завайтлистили определенные теги, но, как я понимаю, остается возможность эксплуатации через атрибуты. Как санитайзить атрибуты?
на сервере PHP

#html #programming #russian

0

06.01.2022

6 ответов

15 просмотров

Aleksei

Это ближе к pdf lfi, pdf ssrf, etc чем к хсс Энкодить юзер инпут надо как минимум, максимум изучать какие возможности блокировок есть у фреймворка генерации пдфок

0

06.01.2022

SWIPER пустоты

Aleksei
Это ближе к pdf lfi, pdf ssrf, etc чем к хсс Энко...

Суть вопроса все равно не изменится, будь это хоть божественной карой 😄

0

06.01.2022

denstr Автор вопроса

Aleksei
Это ближе к pdf lfi, pdf ssrf, etc чем к хсс Энко...

“фреймфорк генерации” это хедлесс хром

0

06.01.2022