Выбор ответа Middle Тестирование веба обновлено
Простая проверка на XSS
Вопрос
Как тестировщику без специальных инструментов проверить поле «Комментарий» на хранимый XSS?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Сохранить <img src=x onerror=alert(1) и открыть под другим пользователем. XSS возникает, когда введённый текст вставляется в страницу как HTML без экранирования.
Варианты ответа
- Сохранить
<img src=x onerror=alert(1)>и открыть под другим пользователемправильный ответ - Ввести комментарий на 10 000 символов и проверить, что страница не упала
- Ввести комментарий на китайском и с эмодзи, проверить отображение
- Отправить комментарий 100 раз подряд и проверить защиту от спама
Разбор
XSS возникает, когда введённый текст вставляется в страницу как HTML без экранирования. Если появился alert или картинка отрисовалась как тег, это уязвимость: вместо alert злоумышленник украдёт данные. Правильное поведение: текст отображается буквально. Длинный текст проверяет границы, иероглифы кодировку, повторная отправка защиту от спама. Проверять безопасность можно только на своих стендах и с разрешения.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.