Web StorageWeb Storage (localStorag

Web Storage

Web Storage (localStorage/sessionStorage) is accessible through JavaScript on the same domain. This means that any JavaScript running on your site will have access to web storage, and because of this can be vulnerable to cross-site scripting (XSS) attacks. XSS, in a nutshell, is a type of vulnerability where an attacker can inject JavaScript that will run on your page. Basic XSS attacks attempt to inject JavaScript through form inputs, where the attacker puts alert('You are Hacked'); into a form to see if it is run by the browser and can be viewed by other users.

To prevent XSS, the common response is to escape and encode all untrusted data. But this is far from the full story. In 2015, modern web apps use JavaScript hosted on CDNs or outside infrastructure. Modern web apps include 3rd party JavaScript libraries for A/B testing, funnel/market analysis, and ads. We use package managers like Bower to import other peoples’ code into our apps.

What if only one of the scripts you use is compromised? Malicious JavaScript can be embedded on the page, and Web Storage is compromised. These types of XSS attacks can get everyone’s Web Storage that visits your site, without their knowledge. This is probably why a bunch of organizations advise not to store anything of value or trust any information in web storage. This includes session identifiers and tokens.

As a storage mechanism, Web Storage does not enforce any secure standards during transfer. Whoever reads Web Storage and uses it must do their due diligence to ensure they always send the JWT over HTTPS and never HTTP.

Kết quả (Việt) 1:

Lưu trữ webLưu trữ web (localStorage/sessionStorage) là có thể truy cập thông qua JavaScript trên cùng một tên miền. Điều này có nghĩa rằng bất kỳ JavaScript chạy trên trang web của bạn sẽ có thể truy cập để lưu trữ web, và bởi vì điều này có thể được dễ bị tổn thương để cross-site scripting (XSS) tấn công. XSS, tóm lại, là một loại tổn thương nơi một kẻ tấn công có thể tiêm JavaScript mà sẽ chạy trên trang web của bạn. Cơ bản nỗ lực tấn công XSS để tiêm JavaScript thông qua các hình thức đầu vào, nơi mà những kẻ tấn công đặt alert('You are Hacked'); thành một hình thức để xem nếu nó được chạy bởi trình duyệt và có thể được xem bởi người dùng khác.Để ngăn ngừa XSS, các phản ứng phổ biến là để thoát khỏi và mã hóa tất cả dữ liệu không đáng tin cậy. Nhưng điều này là xa những câu chuyện đầy đủ. Trong năm 2015, ứng dụng web hiện đại sử dụng JavaScript được lưu trữ trên CDNs hoặc cơ sở hạ tầng bên ngoài. Ứng dụng web hiện đại bao gồm các thư viện JavaScript bên thứ 3 cho A / B thử nghiệm, phân tích kênh/thị trường, và quảng cáo. Chúng tôi sử dụng quản lý gói như Bower để nhập khẩu các dân tộc khác mã vào ứng dụng của chúng tôi.Nếu chỉ có một kịch bản mà bạn sử dụng là thỏa hiệp? JavaScript độc hại có thể được nhúng trong trang, và lưu trữ Web là thỏa hiệp. Những loại tấn công XSS có thể nhận được tất cả mọi người của Web lưu trữ mà truy cập vào trang web của bạn, mà không có kiến thức của họ. Điều này có lẽ là lý do tại sao một bó của các tổ chức tư vấn không để lưu trữ bất cứ thứ gì có giá trị hoặc tin tưởng bất kỳ thông tin nào trong trang web lưu trữ. Điều này bao gồm các từ định danh của phiên họp và thẻ.Là một cơ chế lưu trữ, lưu trữ Web không thi hành bất kỳ tiêu chuẩn an toàn trong quá trình chuyển giao. Bất cứ ai đọc Web lưu trữ và sử dụng nó phải làm do siêng năng của họ để đảm bảo chúng luôn gửi JWT qua HTTPS và không bao giờ HTTP.

Kết quả (Việt) 2:

Web lưu trữ Web Storage (localStorage / sessionStorage) có thể truy cập thông qua JavaScript trên cùng một tên miền. Điều này có nghĩa rằng bất kỳ JavaScript chạy trên trang web của bạn sẽ có quyền truy cập vào kho lưu trữ web, và vì điều này có thể dễ bị cross-site scripting tấn công (XSS). XSS, trong Tóm lại, là một loại tổn thương mà kẻ tấn công có thể tiêm JavaScript mà sẽ chạy trên trang của bạn. Các cuộc tấn công XSS cơ bản cố gắng tiêm JavaScript thông qua đầu vào hình thức, mà kẻ tấn công đưa vào một biểu mẫu để xem nếu nó được chạy bởi trình duyệt và có thể được xem bởi những người dùng khác. Để ngăn ngừa XSS, phản ứng chung là để trốn thoát và mã hóa tất cả dữ liệu không tin cậy . Nhưng điều này là xa toàn bộ câu chuyện. Trong năm 2015, các ứng dụng web hiện đại sử dụng liệu JavaScript trên CDN hoặc cơ sở hạ tầng bên ngoài. Ứng dụng web hiện đại bao gồm 3 bên thư viện JavaScript cho thử nghiệm A / B, phễu / phân tích thị trường và quảng cáo. Chúng tôi sử dụng quản lý gói như Bower để nhập mã của những người khác vào các ứng dụng của chúng tôi. Nếu chỉ một trong những kịch bản mà bạn sử dụng là xâm nhập? Độc hại JavaScript có thể được nhúng trên trang, và Lưu trữ trên web là bị tổn hại. Các cuộc tấn công XSS có thể được lưu trữ web của tất cả mọi người mà thăm trang web của bạn, mà không cần kiến thức của họ. Đây có lẽ là lý do tại sao một loạt các tổ chức tư vấn không lưu trữ bất cứ thứ gì có giá trị hoặc tin tưởng bất kỳ thông tin trong kho lưu trữ web. Điều này bao gồm định danh phiên và thẻ. Là một cơ chế lưu trữ, lưu trữ web không thực thi bất kỳ các tiêu chuẩn an toàn trong quá trình chuyển giao. Ai đọc lưu trữ web và sử dụng nó phải làm do siêng năng của họ để đảm bảo họ luôn gửi JWT qua HTTPS và không bao giờ HTTP.

alert('You are Hacked');