跨站腳本攻擊(Cross Site Scripting)，為不和層疊洋式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS。惡意攻擊者往Web頁面裏插入惡意html代碼，當用護瀏覽該頁之時，嵌入其中Web裏面的html 代碼會被執行，從而達到惡意攻擊用護的特殊目的。
新加坡南洋理工大學物理和數學科學學院博士生王晶(Wang Jing)發現，紐約時報所有2013年前的文章都可已用來攻擊。“2013年前所有包含“PRINT”,”SINGLE PAGE”, “Page” 和“NEXT PAGE” 按鈕的文章都有此漏洞“。
當被問及漏洞的重要性時，王晶回答“對XSS攻擊而言，非常重要的壹件事情是如何說服受害者點擊URL。因為所有的舊文章都可已用來攻擊，所有用護非常容易遭受攻擊“。
研究者王發布了壹個POC視頻和博客說明：
王同時說明，紐約時報現在采取了壹種更安全的機制，這種機制不再遭受XSS攻擊。
發布在2013年前的文章是否重要？
問前還是非常嚴重的，因為所有 紐約時報2013年前的文章還在被大量引用。 據此產生的流量也非常大。所以此漏洞及易使紐約時報用護和其他合作者遭受攻擊。
XSS 攻擊後果？
漏洞的危害取抉於攻擊代碼的威力，攻擊代碼也不局限於script。 用護可以被竊取個人資料，重定向到其他頁面等。
參考文章：
No comments:
Post a Comment