css - script - xss cheat sheet

Cross Site Scripting en CSS hojas de estilo (3)

El riesgo de la ejecución de JavaScript. Como una característica poco conocida, algunas implementaciones de CSS permiten que el código JavaScript se incruste en las hojas de estilo. Hay al menos tres formas de lograr este objetivo: mediante el uso de la directiva de expresión (...), que le da la capacidad de evaluar declaraciones de JavaScript arbitrarias y utilizar su valor como un parámetro de CSS; mediante el uso de la directiva url (''javascript: ...'') en las propiedades que lo soportan; o al invocar características específicas del navegador, como el mecanismo de enlace de moz de Firefox .

... y después de leer eso, encuentro esto en StackOverflow. Consulte Uso de Javascript en CSS En Firefox, puede usar XBL para insertar Javascript en una página mediante CSS. Sin embargo, el archivo XBL debe residir en el mismo dominio, ahora que el error 324253 está solucionado .

Hay otra forma interesante (aunque diferente de su pregunta) de abusar de CSS. Ver http://scarybeastsecurity.blogspot.com/2009/12/generic-cross-browser-cross-domain.html . Básicamente, usted usa mal el analizador de CSS para robar contenido de un dominio diferente.

¿Es posible usar scripts de sitios cruzados en una hoja de estilo CSS? Por ejemplo, una hoja de estilo de referencia contiene código malicioso, ¿cómo harías esto? Sé que puedes usar etiquetas de estilo, pero ¿qué pasa con las hojas de estilo?

El proyecto OWASP Mutillidae tiene un ejemplo de vulnerabilidad de inyección de estilo en cascada en la página: http://localhost/mutillidae/index.php?page=set-background-color.php

Por supuesto, primero debe configurar el env localmente. Puede descargarlo y configurarlo en su servidor local desde el siguiente enlace: https://www.owasp.org/index.php/OWASP_Mutillidae_2_Project

Aquí está la pista relevante: https://github.com/hyprwired/mutillidae/blob/master/includes/hints-level-1/cascading-style-sheet-injection-hint.inc

sí su llamada Xsstc , lea más en este artículo:

http://www.tralfamadore.com/2008/08/xsstc-cross-site-scripting-through-css.html