Les feuilles de style CSS peuvent-elles permettre des attaques de scripts intersites ?

Les feuilles de style CSS peuvent-elles héberger des exploits de scripts intersites ?

Question :

Les scripts intersites (XSS) peuvent-ils être utilisés ? Les vulnérabilités seront-elles exploitées via des feuilles de style CSS ? Si tel est le cas, comment y parvenir en utilisant une feuille de style de référence malveillante, par opposition aux balises de style en ligne ?

Réponse :

Selon le manuel de sécurité du navigateur, les implémentations CSS permettent en effet l'exécution de code JavaScript dans des feuilles de style via trois méthodes principales :

1. Expression(...) directive : Évalue les instructions JavaScript et utilise leurs valeurs de retour comme paramètres CSS.
2. Directive Url('javascript:...') : Insère du code JavaScript dans les propriétés qui prennent en charge cette directive .
3. Fonctionnalités spécifiques au navigateur : Le mécanisme de liaison -moz de Firefox, par exemple, permet l'invocation de JavaScript dans CSS.

De plus, les utilisateurs de StackOverflow ont noté que JavaScript peut être injecté dans une page de Firefox via CSS en utilisant XBL (Extensible Binding Language). Cependant, il convient de mentionner que le fichier XBL doit provenir du même domaine pour empêcher toute exploitation.

Une autre technique notable est décrite dans le blog Scary Beast Security. En manipulant l'analyseur CSS, il devient possible de récupérer du contenu d'un domaine différent, bien que cela diffère légèrement du concept de cross-site scripting.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!