Unterschied HTML Injection und XSS

[johann2]

Hallo,

ja was ist der Unterschied zwischen HTML Injection und Cross Site Scripting?

Laut Wikipedia ist Cross Site Scripting eine Art von HTML Injection, für mich ist das aber ein und dasselbe...

Gruß

Johann

[lilith2k3]

HTML Injection refers to injecting HTML code into a web servers response to alter the content to the end user. This is also known as Cross Site Scripting.

What is HTML Injection?

[trollr]

XSS beschreibt im Prinzip verschiedene Injections

->HTML

->SQL

->Javascript

->Dom

Letztendlich bedeutet es, dass eine Homepage von Unbefugten manipuliert wird.

Bearbeitet 20. September 2011 von trollr

[Guybrush Threepwood]

Nein SQL Injection hat nichts mit XSS zu tun.

Der Link oben beschreibt eigentlich ganz gut was XSS ist. Falls du mit Dom das Document Object Model meinst verstehe ich auch nicht was das in der Aufzählung zu suchen hat.

[trollr]

"Cross-Site Scripting besteht einfach gesagt darin, dass ein Angreifer Skript-Code in variable Bereiche auf einer Website oder in einer Internetanwendung an einer Stelle einfügt (und zur Ausführung bringt), wo dies eigentlich nicht möglich sein sollte beziehungsweise wo die Eingaben durch den Browser nicht ausreichend überprüft werden und in einem für den Anwender vertrauenswürdigen Context erscheinen. "

Gut SQL-Injection könnte man streichen. Auch wenn es das gleiche Ziel verfolgt und ich XSS als Oberbegriff der unterschiedlichen Angriffsarten betrachtet (was anscheinend nicht ganz korrekt ist).

Das sind keine Aufzählungspfeile, sondern Beinhaltetpfeile. Javascript/HTML/Dom Injection haben zwar unterschiedliche Namen sind aber eigentlich das Gleiche

Bearbeitet 21. September 2011 von trollr

[Guybrush Threepwood]

Was ist denn DOM Injection?

[trollr]

Click me. Wie gesagt letztendlich beschreiben alle 3 Namen das gleiche Vorgehen. Wobei ich bei HTML-Injection ausschließen würde, dass es über die URL gemacht wird sondern eher über Eingabe/Ausgabe Felder.

[Guybrush Threepwood]

Ah ok, das hätte ich jetzt wenn ich es irgendwo gesehen hätte auch einfach als XSS bezeichnet. Ich wußte nicht das es da noch feinere unterscheidungen gibt.