我在一个流行的买卖网站的用户代理标头中发现了一个 xss 错误，在向他们报告后，他们回答说它并不危险，因为没有用户交互就无法利用它（手动更改用户代理标头）。所以我想问一下，有没有办法发送用户代理并使用欺骗用户代理请求同一页面。任何网络编程语言都可以做到这一点吗？谢谢
是否可以在 User-Agent 标头中利用 XSS？
信息安全
Web应用程序
xss
2021-09-01 03:30:24
1个回答
攻击者不可能控制跨站点请求中的用户代理。通常 XSS 有效负载是<form>带有 javascript 的简单元素，可以自动调用.submit()或<iframe>.
可以通过一些使用 Flash 的 HTTP 标头来利用 XSS 。但是，flash 有一个http 标头黑名单。用户代理在 9.0.28 版中被列入黑名单，因此曾几何时，您可以利用基于用户代理的 XSS。我编写了CSRF-Request-Builder以利用 Flash 对 HTTP 标头的控制。
其它你可能感兴趣的问题