ModSecurity Защита от XSS Тип 0 Атаки и воздействие

Question

DOM-based (тип 0) XSS не требует отправки вредоносного кода на сервер, и поэтому они также могут использовать статические HTML-страницы в качестве вектора атаки. Пример фиктивной атаки строки здесь будет следующее:

http://www.xssed.edu/home.html#<script>alert("XSS")</script> 

Я знаком, что ModSecurity обеспечивает защиту от атак XSS в PDF-файлах, которые считаются типа 0 нападения, однако мой вопрос, если ModSecurity делает вообще предотвратить против этот тип XSS, а также, на ваш взгляд, каковы последствия такой уязвимости.

Answer 1

Каждый брандмауэр веб-приложений работает с использованием сигнатур атак. Type-0 XSS генерирует ту же подпись, что и отраженный XSS, поэтому это, вероятно, будет остановлено любым WAF. Тип-0 XSS не возникает из-за уязвимости кода сервера, но запрос явно достигает сервера в процессе загрузки страницы. Единственная проблема, которая может помешать WAF прекратить такую ​​атаку, - это расширение файла, но я считаю, что в вашем примере это, вероятно, будет остановлено.