¿Existe un vector XSS para los campos de entrada ocultos sin usar la tecla de acceso HTML?

Navega tus respuestas
2

Tengo algunos casos de scripts entre sitios (XSS) en campos de entrada de HTML ocultos. Hay algunos vectores XSS conocidos que se pueden usar, por ejemplo, utilizando la tecla de acceso HTML.

  

XSS en entradas ocultas suele ser muy difícil de explotar porque los eventos típicos de JavaScript como onmouseover y onfocus no pueden activarse debido a que el elemento es invisible.    Fuente: enlace

Pero el uso de un llamado accesskey requiere una alta interacción del usuario. ¿Hay otra forma de insertar código aquí y ejecutarlo sin necesidad de presionar teclas o una forma más suave de interacción del usuario?

En mi caso actual, los tres caracteres ()> están filtrados.

Necesito un vector XSS que pueda inyectarse en esta posición: 

<input type="hidden" name="[INJECTION]" />

Otra referencia al truco XSS de acceso clave se puede encontrar aquí: enlace

    
pregunta Abdullah Hussam 04.03.2016 - 11:53
fuente

1 respuesta

1

A menos que pueda inyectar para cambiar el tipo (por ejemplo, a text ), entonces no hay un vector conocido para activar XSS dentro de un campo de entrada oculto sin más interacción del usuario.

por ejemplo Con 

<input name="[INJECTION]" type="hidden" />

Podrías inyectar 

" type="text" onfocus="alert&#x28;'xss'&#x29;" autofocus="1

para renderizar 

<input name="" type="text" onfocus="alert&#x28;'xss'&#x29;" autofocus="1" type="hidden" />

Sin embargo, a menos que pueda ingresar antes del ya establecido type="hidden" o cerrar la etiqueta y comenzar una nueva (que no puede en su caso debido a que filtró > ), está en billar.

    
respondido por el SilverlightFox 04.03.2016 - 15:19
fuente

Lea otras preguntas en las etiquetas

¿Qué debo hacer para mi esquema de autenticación de API web? ¿Qué información de autenticación se revela localmente con eduroam WPA-Enterprise 802.1X?