Сообщение от
M_script
Если вы не считаете CSRF и XSS уязвимостями, почему даете ссылку на страницу, в которой черном по белому написано "How to Avoid Cross-site scripting Vulnerabilities", "How to Review Code for Cross-site scripting Vulnerabilities", "How to Test for Cross-site scripting Vulnerabilities"?
В первом же предложении, по ссылке, которую я предложил, указано:
PHP код:
[COLOR="#000000"][COLOR="#0000BB"]Cross[/COLOR][COLOR="#007700"]-[/COLOR][COLOR="#0000BB"]site Scripting[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]XSS[/COLOR][COLOR="#007700"])
[/COLOR][COLOR="#0000BB"]This is an Attack[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]To view all attacks[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]please see the Attack Category page[/COLOR][COLOR="#007700"].[/COLOR][/COLOR]
Но ладно, не будем дергать из контекста статьи отдельные предложения и возьмем, примеру, другую классификацию, по WASC.
PHP код:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting[/COLOR][/COLOR]
Project: WASC Threat Classification
Threat Type:
Attack
Сообщение от
M_script
Если я вас не убедил, тогда ответьте на вопрос - как называются уязвимости, которые дают возможность проведения CSRF и XSS атак?
PHP код:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//projects.webappsec.org/w/page/13246934/Improper%20Output%20Handling[/COLOR][/COLOR]
Improper Input/Output Handling.
Интерес представляет фраза:
PHP код:
[COLOR="#000000"][COLOR="#0000BB"]An application that does not provide data in the correct context may allow an attacker to abuse the data consumer[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]This can lead to specific threats referenced within the WASC Threat Classification[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]including Content Spoofing[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]6[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]Cross[/COLOR][COLOR="#007700"]-[/COLOR][COLOR="#0000BB"]Site Scripting[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]7[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]HTTP Response Splitting[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]8[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]HTTP Response Smuggling[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]9[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]LDAP Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]10[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]OS Commanding[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]11[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]Routing Detour[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]12[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]Soap[/COLOR][COLOR="#007700"]Array[/COLOR][COLOR="#0000BB"]Abuse[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]13[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]URL Redirector[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]14[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]XML Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]15[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]XQuery Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]16[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]XPath Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]17[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]Mail Command Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]18[/COLOR][COLOR="#007700"]],[/COLOR][COLOR="#0000BB"]Null Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]19[/COLOR][COLOR="#007700"]] and[/COLOR][COLOR="#0000BB"]SQL Injection[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]20[/COLOR][COLOR="#007700"]].[/COLOR][/COLOR]
В любом случае, мы возможно, излишне углубились в терминологию. А это явно попахивает дисциплиной специальной Олимпиады. Об этом вопросе можно долго спорить и перебрасываться ссылками на разные источники. Но, повторюсь, в моей картине мира, а также по классификация OWASP/WASC-коммьюнити, XSS - это следствие, а не причина, равно как и атака является следствием уязвимости, которая выступает причиной.
Если же вас задел излишне резкий тон вчерашнего моего поста - то, признаю, я не несколько перегнул палку, ведь у вас может быть свое видение терминов и классификации в данном вопросе. В конце концов, вы черпаете информацию из одних источников, я из других.
Каждый из нас, думается, в итоге останется при своем мнении, а значит дальнейший спор бессмысленен.
Что касается сабжа: прочитал. Спасибо за труды.