Комментарии 4
Расшифруйте кто текст ниже иными словами
Разработчику могут понадобиться параметры из URL или тела запроса. Такой тип XSS называется reflected.
Для чего разработчику вообще доступ на бой, не пойму.
(судя по видео) в этом абзаце продолжается разговор про генерацию HTML-страницы по шаблону. То есть речь не о том, что разработчик грязными руками лезет куда-то в продакшн к пользователю, а о том, что разработчик при работе над шаблоном может опираться в том числе на параметры, которые берутся из URL. Но мы сейчас уточним у спикера, как правильно (и, возможно, отредактируем абзац), спасибо за вопрос.
Речь идет об этом https://www.google.ru/search?q=asdadsddddddddddddddddddddddddddddddddddddddddd
На странице будет видно "По запросу asdadsddddddddddddddddddddddddddddddddddddddddd ничего не найдено. "
Ещё не лишним было б упомянуть про CSP: можно сказать браузеру, что выполнять можно, а что - не стоит
Конечно, для напичканных всеми видами скриптов сайтов не очень поможет, но процентов к защите докинет
Эффективный поиск XSS-уязвимостей