用户输入Javascript安全隐患

Question

我创建了一个网站，让人们使用子域创建自己的网站。 让人们在自己的页面上添加自定义javascript会有什么安全隐患吗？如果是这样，哪些？ XSS？ Cookie嗅探？我可以通过清理html来使它工作吗？

现在我禁止它，但让人们自己决定是件好事。我注意到Github托管的页面上有用户输入的javascript。

Answer 1

任何安全隐患？

还有负载。您可以使用JavaScript进行任何操作，恶意网站所有者可以在您的网站上进行操作。

• 从登录表单中获取用户的密码并将其发送到其他地方，然后才允许他们正常登录。
• 完全覆盖与您的应用程序工作方式无关的页面。 （我已经看到了这一点，这是药房垃圾邮件，它可能是一个钓鱼页面。）
• 创建一个open redirect。
• 通过反复在后台请求目标页面，导致访问该站点的用户参与DDoS。

您可能注意到，所有的这些都是针对用户在你的网站。除非是在您访问恶意网站时通过网络钓鱼或会话劫持您，否则允许javascript会导致您的网络服务器遭到破坏的可能性不大。

扫描危险关键字的新javascript不太可能正常工作，因为恶意用户可以使用javascript本身编写不同的JavaScript。

将所有cookie设置为httponly将保护他们免受javascript的侵害。 （无论如何，您应该这样做）。

根据您与客户的关系，您可能会认为所有这些都是可以接受的，但是您应该知道在允许javascript时您准确允许的内容。