OWASP客户端测试-如何

Question

在OWASP测试指南中，它有一个名为“客户端测试”的完整部分。本节涉及对基于DOM的XSS、JavaScript执行、HTML注入、客户端URL重定向等方面的测试。测试指南中关于前四个漏洞(我刚才列出的漏洞)的示例都包括访问document.location的代码。

我的问题是，在不访问document.location (或window.location或普通location)的情况下，将这些漏洞引入到网页中还有其他方法吗？换句话说，如果一个页面从来没有访问过document.location，那么它肯定没有这些漏洞吗？如果没有(我肯定不是)，请您提供一些其他易受攻击的代码示例。

Answer 1

我是当前OWASP网络安全测试指南的领头羊。

您需要的是汇，它主要是在DOM攻击中找到的。

指南的4.2版将于下周发布。我们已经提到了汇一词，为了进一步解决您的问题，我将在可能的情况下添加参考资料。在接下来的版本中，团队将为主题添加更多内容，以便更容易地阅读和理解，并提供更多的信息。

源是注入点，接收器以安全的方式或以滥用的方式对输入进行操作。

关于您要求的更多内容，domxsswiki是一个很好的阅读。

更新：与此事有关的公关