I ten wykład i kilka następnych wykładów, które będziemy omawiać na temat
luki, o nazwie Access ma dostęp, jest skrótem od cross-site scripting tego typu luki umożliwia
atakującemu wstrzykiwanie javascript na stronę, więc JavaScript jest językiem programowania i używa Ta luka w
zabezpieczeniach umożliwia atakującemu wykonanie kodu napisanego w javascript na pewną stronę w witrynie Javascript to język strony
klienta.
Więc kiedy kod zostanie wykonany, zostanie wykonany na kliencie u użytkownika, który przegląda stronę
internetową.
Nie zostanie wykonany na serwerze.
Więc nawet jeśli twój kod doprowadzi do odwrotnej powłoki, powłoka będzie pochodzić od użytkownika, który przegląda
stronę i nie będzie pochodził z witryny sieci Web.
Więc każdy kod napisany w javascriptu będzie wykorzystywany lub będzie działał na docelowym użytkowniku
na ludziach, którzy zobaczą strony, a nie na serwerze sieciowym, więc serwer internetowy będzie używany tylko w celu wykonania
kodu lub dostarczenia kod.
Istnieją trzy główne typy dostępu, jako luki w zabezpieczeniach, które są trwałe lub przechowywane i odzwierciedlone,
a przechowywany dostęp jest przechowywany w bazie danych.
Zatem kod, który wstrzykniesz, będzie przechowywany w bazie danych lub na stronie, tak aby za każdym razem, gdy
dana osoba przegląda tę stronę, Twój kod zostanie wykonany.
I odzwierciedlony jeden kod zostanie wykonany tylko wtedy, gdy docelowy użytkownik uruchomi konkretne lekarstwo, które zostało wykonane lub
napisane przez ciebie.
Będziesz więc manipulował jakimś L i wysyłał go do celu, a kiedy uruchomią ten cel,
kiedy go uruchomią.
Kod zostanie
wykonany, nie bazując na wynikach kodu javascript napisanego na kliencie.
Kod zostanie więc zinterpretowany i uruchomiony po stronie klienta bez żadnej komunikacji
z serwerem WWW.
Może to być bardzo niebezpieczne, ponieważ czasami serwery internetowe stosują jakąś infiltrację bezpieczeństwa,
aby sprawdzić dostęp.
Ale z Home-Based kod nigdy nie zostanie wysłany na serwer WWW.
Tak więc połączenie będzie interpretowane i uruchamiane w przeglądarce internetowej, nawet bez interakcji z serwerem internetowym, a te
będą obecne na stronach internetowych, które aktualizują ich zawartość.
Dzięki temu odświeżeniu używamy wszystkich stron internetowych, na których umieszczasz swoją nazwę użytkownika i ładuje się
od razu, bez konieczności sprawdzania z serwerem WWW.
Czy umieścisz jakiś ciąg znaków i nie wyszukuje bez komunikowania się z serwerem sieciowym lub
robi coś z komunikacją z serwerem WWW.
Więc jeśli jesteś w stanie wstrzyknąć, to zastrzyk nie zostanie zatwierdzony.
Zostanie wykonany natychmiast i obejdzie wszystkie walidacje.