Cross Site Scripting dans les feuilles de style CSS
Est-il possible d'utiliser des scripts intersites dans une feuille de style CSS? Par exemple, une feuille de style de référence contient du code malveillant, comment feriez-vous cela? Je sais que vous pouvez utiliser des balises de style, mais qu'en est-il des feuilles de style?
Depuis le manuel de sécurité du navigateur
Le risque d'exécution de JavaScript. En tant que fonctionnalité peu connue, certaines implémentations CSS permettent d'incorporer du code JavaScript dans des feuilles de style. Il y a au moins trois façons d'atteindre cet objectif: en utilisant la directive expression (...), qui donne la possibilité d'évaluer des instructions JavaScript arbitraires et d'utiliser leur valeur comme paramètre CSS; en utilisant la directive url ('javascript: ...') sur les propriétés qui la prennent en charge; ou en invoquant des fonctionnalités spécifiques au navigateur comme le - mécanisme de liaison moz de Firefox .
... et après avoir lu cela, je trouve cela sur StackOverflow. Voir tilisation de Javascript en CSS Dans Firefox, vous pouvez utiliser XBL pour injecter du javascript dans une page via CSS. Cependant, le fichier XBL doit résider dans le même domaine, maintenant que le bogue 324253 est corrigé .
Il existe un autre moyen intéressant (bien que différent de votre question) d'abuser du CSS. Voir http://scarybeastsecurity.blogspot.com/2009/12/generic-cross-browser-cross-domain.html . Essentiellement, vous utilisez mal l'analyseur CSS pour voler du contenu d'un domaine différent.
Le projet OWASP Mutillidae présente un exemple de vulnérabilité d'injection de style en cascade à la page ： http: //localhost/mutillidae/index.php? Page = set-background-color.php
Bien sûr, vous devez d'abord configurer l'env localement. Vous pouvez le télécharger et le configurer sur votre hôte local à partir du lien suivant: https://www.owasp.org/index.php/OWASP_Mutillidae_2_Project
Voici l'astuce pertinente: https://github.com/hyprwired/mutillidae/blob/master/includes/hints-level-1/cascading-style-sheet-injection-hint.inc
oui son appel Xsstc , lisez plus dans cet article:
http://www.tralfamadore.com/2008/08/xsstc-cross-site-scripting-through-css.html