是否可以通过注入修改web应用程序中的支持.js文件？
假设有一个web应用程序需要在html文档的头部加载一个JavaScript支持文件.js。
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
<script type="text/javascript" src="file.js"></script>
<title>example</title>
</head>
<body>
[...]
</body>
</html>是否可以通过注入攻击来修改它，当然，只要web应用程序容易受到注入攻击？我不明白怎么可能修改之前需要的脚本。
回答 2
Security用户
发布于 2014-02-20 19:30:55
为了确保我们使用正确的术语，应该注意的是，当谈到web应用程序漏洞时，注入攻击通常指的是OWASP十大分类中定义的A1-注射。
尽管如此，你的问题的答案是肯定的。如果web应用程序容易受到注入攻击，则攻击场景可能如下：
攻击者向web服务器发送恶意输入，然后将其传递给解释器(例如php)，解释器将其包含在请求中并执行。然后在web服务器上执行恶意输入，如果JS文件权限允许，执行的代码(有效载荷)可以修改包含任意内容的JS文件。然后，修改后的JS文件将提供给每个请求此网页的客户端。
为了简化，注入攻击可能使攻击者能够在受害者服务器上执行任意命令，从而导致文件和/或数据修改。
Security用户
发布于 2014-02-20 23:49:25
如果您正在讨论修改名为"file.js“的外部javascript文件，那么可以通过在您选择的浏览器中使用调试器对其进行一些修改。首先，我将在控制台中更改Javascript中感兴趣的部分中的变量，并添加一个断点并运行调试器来查看结果。我使用断点和调试器来修改javascript中的变量，以产生意想不到的结果。假设应用程序使用了一个名为"is_admin=false“的变量，并带有Javascript。我将首先将变量更改为"is_admin=true“，并在断点之后继续，希望它们以所有错误的方式使用Javascript来隔离管理权限。
https://security.stackexchange.com/questions/51936
复制相似问题
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号