Cross Site Scripting in CSS Stylesheets

Scripting inter-site (XSS) est une technique qui permet à un attaquant d'injecter un code malveillant dans un code malveillant dans un code malveillant en un Page Web, qui peut ensuite être exécutée par des utilisateurs qui visitent la page. CSS Stylesheets est généralement utilisé pour définir l'apparence visuelle d'une page, mais il est possible de les utiliser pour injecter également du code malveillant.

Comment XSS est-il possible dans une feuille de style CSS?

Il existe plusieurs façons d'injecter du code malveillant dans une feuille de style CSS. Une façon consiste à utiliser la directive Expression (...), qui vous permet d'évaluer les instructions JavaScript arbitraires et d'utiliser leur valeur comme paramètre CSS. Une autre façon consiste à utiliser la directive URL ('javascript: ...') sur des propriétés qui le prennent en charge. Enfin, vous pouvez également invoquer des fonctionnalités spécifiques au navigateur, telles que le mécanisme de liaison à Firefox -moz, pour injecter du code malveillant.

Quels sont les risques de XSS dans CSS Stylesheets?

XSS dans CSS Stylesheets peut être utilisé pour effectuer une variété d'attaques, y compris:

• volant des informations d'identification de l'utilisateur
• redirigeant les utilisateurs vers des sites Web malveillants
• ] Défaçage des sites Web
• lancement d'attaques de déni de service

Comment pouvez-vous empêcher XSS dans CSS Styleshets?

Il y en a quelques-uns Les choses que vous pouvez faire pour empêcher XSS dans CSS Stylesheets, y compris:

• valider CSS Stylesheets pour s'assurer qu'ils ne contiennent pas de code malveillant.
• Désactiver la directive Expression (...) Dans votre navigateur.
• Définissez l'en-tête Content-Security-Policy sur votre site Web pour restreindre l'exécution des scripts en ligne.
• Utilisez un pare-feu d'application Web pour bloquer les demandes malveillantes. ]

• [Utilisation de javascript dans css] (https://stackoverflow.com/questions/1204273/using-javascript-in-css)
• [générique crosser-domain cross-domain CSS Demande de tromperie de tromperie ] (http://scarybeastssecurity.blogspot.com/2009/12/generic-cross-browser-cross-domain.html)