¿Qué riesgos de piratería tiene un sitio si no tiene cuadros de entrada?

Aunque un sitio no tenga cuadros de entrada, seguirá procesando la entrada. Ejemplos de estos tipos de entrada son:

• encabezados HTTP.
• Valores de las cookies.
• Valores de cadena de consulta.
• datos POST.

Si el sitio muestra alguno de estos valores dentro de una página HTML, los valores deben codificarse correctamente para evitar que XSS .

Por ejemplo, si una página muestra los valores de los encabezados User-Agent de todos los visitantes en HTML para enumerar los Los detalles en bruto de todos los navegadores que se han utilizado, un atacante malintencionado podrían configurar su valor de encabezado como código JavaScript malicioso y luego visitar la página que registra los encabezados.

Hay muchos ataques posibles, consulte OWASP Top 10 2013 para ver algunos ejemplos, ninguno de que requieren cuadros de entrada para ser utilizados.

  

Suponiendo que un sitio no tenga cuadros de entrada, ¿sigue siendo vulnerable al ataque XSS? Si es así, ¿cómo?

La entrada del usuario aún puede provenir de otros lugares en lugar de solo cuadros de entrada (lo que posiblemente cause XSS, inyección de SQL, redireccionamientos del sitio y más):

1. valores de cadena de consulta
2. Los valores de formulario (solo porque no tiene formularios no significa que el sitio no acepta POST)
3. valores de cookie
4. encabezados HTTP

  

aparte de XSS, otros ataques de hackeo que un sitio puede enfrentar si no tiene ninguna casilla de entrada para el usuario

Vale la pena leer un poco en esta área, hay muchos ataques que considerar. Uno de mis libros favoritos es 19 pecados mortales de la seguridad del software