¿Es la sobrescritura de un método de prototipo de Javascript un ataque XSS?

Question

¿Es la sobrescritura de un método de prototipo de Javascript un ataque XSS?

#1 de Egret (1 votos)
#2 de Philipp (1 votos)

0

Estoy buscando una caracterización formal de un ataque que explote la función de anulación del método prototípico en los programas de Javascript. Por ejemplo, si un atacante anula con éxito el método Object.prototype.toString , él / ella podría obtener acceso a los objetos y datos que podrían considerarse "ocultos" en los cierres, siempre que esos valores "ocultos" tengan sus métodos toString() invocados.

Creé un ejemplo más detallado en el que un script atacante filtra información confidencial propagada en la API de Javascript Crypto . "> aquí en acción.

¿Esta técnica / enfoque es una forma de ataque XSS? Si es así, ¿hay un nombre establecido para ello?

xss javascript

pregunta Humberto 14.01.2018 - 05:16

fuente

2 respuestas

Lea otras preguntas en las etiquetas xss javascript

Riesgos y desafíos de un sistema de votación en línea. ¿Alguna actualización reciente? [cerrado] “Autenticación fuerte”: autenticación multifactor frente a la autenticación múltiple del mismo factor

score 1 · Answer 1

Parece que no está especificando el vector por el cual se ejecuta el código no confiable. Este parece ser un buen ejemplo de un ataque que aprovecha lo difícil que es para proteger / prevenir vulnerabilidades al cargar y ejecutar código no confiable. Si bien XSS es el vector más común para que un código no confiable se ejecute en javascript, este no parece ser un XSS.

Esto es similar a un problema de java de CERT: enlace

score 1 · Answer 2

No estás describiendo un ataque aquí. Lo que estás describiendo aquí es algo que un atacante podría hacer después de que lograron encontrar un ataque que les permita inyectar código javascript arbitrario en un contexto donde no pertenece.

Hay varias formas en que podría ocurrir esa inyección. Un ataque de scripts entre sitios (XSS) es uno, pero hay muchos otros tipos de inyecciones de scripts.