Selfhtml-Aktuell-Artikel zum Kontextwechsel - Bitte um Rezension

[molily]

Er hat da als Beispiel unter anderem

alert(/XSS/)

angegeben.

Das soll glaube ich zeigen, dass man wegen dem dynamischen Typing nicht auf normale String-Literale wie "XSS" und 'XSS' angewiesen ist, um Strings zu notieren. D.h. der Autor kann ruhig brav " und ' maskieren oder sogar filtern, aber wenn der Angreifer JavaScript einschleusen kann, dann wird ihn das nicht hindern, Strings zu notieren. Eine andere Möglichkeit wäre String.fromCharCode(123).

Allerdings ralle ich nicht so recht, in welchen Fällen das zum XSS-Erfolg führt, während normale String-Literale es nicht tun. Wenn der Angreifer soviel JS einschleusen kann, dass alert() interpretiert wird, und das Maskieren/Filtern von " und ' daran nichts geändert hat, dann ist zu aller dieses XSS-Loch zu stopfen.

Mathias