Практика: XSS-атаки

Решение

Есть несколько способов внедрить JavaScript-код:

Способ 1: Script-тег

Простейший способ с использованием тега <script>:

<script>alert('XSS!');</script>

Способ 2: Событийные атрибуты

Через атрибуты событий в HTML-тегах:

<img src="x" onerror="alert('XSS!');">

Защита от XSS-атак:

• Фильтрация и экранирование пользовательского ввода
• Использование Content Security Policy (CSP)
• Применение принципа наименьших привилегий
• Применение библиотек для защиты (DOMPurify, js-xss)
• Правильное использование HttpOnly cookies