Cross Site Scripting (XSS) Attack

The persisten (atau disimpan) kerentanan XSS adalah lebih varian menghancurkan cross-site scripting cacat: itu terjadi ketika data yang diberikan oleh penyerang disimpan oleh server, dan kemudian ditampilkan secara permanen di halaman "normal" kembali ke pengguna lain dalam perjalanan reguler browsing, tanpa HTML yang tepat melarikan diri. Sebuah contoh klasik dari ini adalah dengan papan pesan online di mana pengguna yang diizinkan untuk mengirim pesan diformat HTML untuk pengguna lain untuk membaca.

XSS Cukup Persistent terjadi ketika pengembang menyimpan input data pengguna ke database server

atau hanya menulis dalam sebuah file tanpa penyaringan yang tepat, maka mengirim mereka kembali ke klien

Browser.

Persistent (Stored) XSS Demo

Berikut ini adalah kode PHP yang menderita bentuk XSS Persistent:

<?php

if(isset($_POST['btnSign']))

{

$message=trim($_POST['mtxMessage']);

$name=trim($_POST['txtName']);

// Sanitize message input

$message = stripslashes($message);

$message = mysql_real_escape_string($message);

// Sanitize name input

$name = mysql_real_escape_string($name);

$query = "INSERT INTO guestbook (comment,name) VALUES

(

'$message','$name');";

$result=mysql_query($query) or

die('<pre>'.mysql_error().'</pre>');

}

dua parameter dalam kode "pesan" dan "nama" yang tidak dibersihkan dengan benar,, kami menyimpan ini parameter ke dalam tabel lain, Jadi ketika kita menampilkan parameter ini mendukung browser klien, itu akan mengeksekusi kode JavaScript berbahaya

Untuk Mendemonstrasikan ini kita akan memanfaatkan aplikasi DVWA