Diskussion:Cross-Site Scripting
aus Wikipedia, der freien Enzyklopädie
Dieser Text ist sicherlich noch sehr weit ausbaufähig, da es ein sehr komplexes Thema ist. Werde es evtl. demnächst mal gründlich erweitern. Beispiele für PHP-Programmierer etc... Besteht daran Interesse? Bin mir nicht sicher...
Inhaltsverzeichnis |
[Bearbeiten] XSS nicht nur clientseitig?
Bisher hatte ich immer gelesen, dass CSS eine rein clientseitige Angelegenheit ist, serverseitig sind das doch ganz andere Angriffe. Ich finde es auch absolut nicht sinnvoll dies zu vermischen.
[Bearbeiten] "Samy" als Beispiel?
Vielleicht könnte man auch die "Samy Story" als Beispiel für mögliche Auswirkungen einbauen: http://www.heise.de/newsticker/meldung/65039
[Bearbeiten] Serverseitig
Die Beschreibung von Serverseitig finde ich unglücklich bis falsch. Solche Dinge wie include() in PHP fallen in die allgemeinere Kategorie Code-Injection, dazu würde dann auch asp, jsp, perl, usw. gehören.. Wenn die Shell Ziel des Angriffs ist, dann spricht man von OS-Command-Injection gelegntlich auch OS-Commanding). Analog gibt es LDAP-Injection. XML-Injection und XPATH-Injection tauchen vereinzelt auch schon auf.
Im englischen Sprachgebrauch wurde (wird vereinzelt noch) dann von "server side" gesprochen, wenn "persistent injection" --im Gegensatz zu "reflected injection"-- gemeint ist. Gibt es dafür schon eine gute Übersetzung?
[Bearbeiten] Serverseitig / Schutz
In aller größter Eile.
- Der Hinweis auf den Microsoft Mitarbeiter und Buch haben für den Leser keinerlei informelle Qualität. In dieser Form kann ich das nur als werbend bezeichnen.
- Schutz: "<script />" Tags werden gerade vom HTML Parser interpretiert und delegieren zu einem entsprechend angedachten Parser. Um die Interpretation von Zeichenfolgen zu verhindern müssen sie als CDATA (Character Data) Bereich oder (innerhalb von HTML) als <pre> (Preformated) gekennzeichnet sein.
Im Großen und Ganzen wirkt der Artikel sachlich stark mangelhaft, ich setz das mal auf meine TODO Liste und bitte solange um ein Review... --spheredancer 07:11, 20. Dez. 2006 (CET)
