Всем привет можете объяснить человеку, зачем пытаться защищаться от ПОСЛЕДСТВИЙ XSS,

Question

Всем привет можете объяснить человеку, зачем пытаться защищаться от ПОСЛЕДСТВИЙ XSS,

а не от самих XSS-атак?

все вокруг говорят: не храните токены в localStorage, придет злобный XSS и покарает вас!
но, бл*ть, XSS ведь может за-monkeypatch'ить XMLHttpRequest.prototype.setRequestHeader, и один фиг угонит этот токен...

а если хранить этот токен в httpOnly-cookie, то все еще проще — просто отправить один запрос на смену пароля, а второй — уведомление на сервер злоумышленника с мылом и новым паролем...
что теперь? двухфакторная авторизация?
так может, тогда и авторизовывать по телефону?..

есть статьи, которые можно почитать на эту тему?

я пока не вижу реальной возможности осуществить XSS-атаку, а интернет захламлен банальными примерами а-ля:
index.php?qwe=<script>alert(123);</script>

<?php
echo $_REQUEST['qwe'];

#javascript #programming #russian

0

02.10.2019

4 ответов

24 просмотра

Bo0oM (в отпуске)

>а если хранить этот токен в httpOnly-cookie, то все еще проще — просто отправить один запрос на смену пароля Поэтому и делают проверку старого пароля, чтоб сменить на новый

0

02.10.2019

Bo0oM (в отпуске)

Вообще ответ - CSP

0

02.10.2019

ed.t

чет нихрена не понял, кто защищается от последствий? Все вещи которые гуглятся направлены как раз на предотвращение XSS а не на генерацию приветственного письма "здорово у тебя получилось"

0

02.10.2019

Danila · Accepted Answer

Danila

>но, бл*ть, XSS ведь может за-monkeypatch'ить XMLHttpRequest.prototype.setRequestHeader, например, как?

0

02.10.2019

169 похожих чатов

Всем привет можете объяснить человеку, зачем пытаться защищаться от ПОСЛЕДСТВИЙ XSS,

4 ответов

Похожие вопросы