Правило активного сканирования DOM XSS

Правило Active Scan для обнаружения уязвимостей DOM XSS.

Он запускает окна браузера и отправляет полезные данные для атаки всем соответствующим элементам DOM.
Поскольку он запускает окна браузера, это займет значительно больше времени, чем другие (не основанные на браузере) правила.

This version supports Firefox (the default) and Chrome. They can be run with GUI or headless (default), it can be changed with the rule rules.domxss.browserid, via the Options 'Rule configuration' panel, with values firefox, firefox-headless, chrome and chrome-headless.

Strengths and Thresholds

Поддерживаются следующие силы атаки, которые напрямую связаны с количеством используемых полезных нагрузок атаки. для фрагмента URL и ввода полей формы (например: http://example.com/index.html?foo=bar#injection): Сканер также попытается внедрить параметры URL/запроса, на которые не влияет выбранная сила.

Правило будет сообщать только об одной уязвимости DOM XSS на узел, если только не установлен НИЗКИЙ порог оповещения. используется, и в этом случае он будет продолжать пробовать все указанные полезные нагрузки.

Exclusions

The rule will block the browser it launches from accessing any URLs that are excluded by:

Последний код: DomXssScanRule.java