黑客技术大户追款是个骗局-Web Hacking 101 简体中文版 五、HTML 注入

HTML文档编译语言（HTML）注入有时也称之为虚拟空气污染。 这事实上是一个由网址造成 的攻击，该网址允许有意客户向其 Web 网页页面注入 HTML，并且没有合理处理客户输入。 换句话说，HTML 注入系统漏洞是由接纳 HTML 导致的，一般依据一些之后会展现在网页页面的表格输入。 这一系统漏洞是独立的，不同于注入 Javascript，VBscript 等。

由于 HTML 是用于定义网页页面网页页面结构的語言，倘若黑客攻击可以注入 HTML，她们绝大多数可以变更浏览器展现的内容。 有时，这很有可能会导致 网页页面外观的完全变更，或在其他情况下，创建表格来欺骗客户，例如，倘若你可以注入 真实黑客入侵雷神模拟器 HTML，你也许能够将

标志再加上到网页页面，要求客户再度输入他们的登录名和用户名和密码。 却不知道，当提交此表格时，它事实上将信息发送给黑客攻击。

案例

1. Coinbase 点评

难易度：低

URL：coinbase.com/apps

报告联接：https://hackerone.com/reports/104543

报告時间：2015.12.10

奖金：$200

描述：

对于此系统漏洞，报告者辨别出 Coinbase 在展现文本时，事实上在编码解码 URI 的序号值。 对于这种不了解它的人（我一直在写文中的状况下），URI 中的标志符是储存的或未储存的。 根据wiki百度百科，储存真实黑客入侵雷神模拟器字是有时有与众不同现实意义的标志符，如/和&。 未储存的标志符是没有一切与众不同现实意义的标志符，一般只是英语字母。

因此，当标志符被 URI 序号时，它将按照 ASCII 转换为其字节数标值，并以百分号（%）刚开始。 因而 ，/变成/，&变为&。 除此之外，ASCII 是一种在大数据技术上最广泛的序号，直到 UTF-8 出现，它是另一种序号类型。 现如今，回到大伙儿的例证，倘若黑客攻击输入 HTML：

Coinbase 事实上会将其3D渲染为文字，好似你上面看到的那样。但是，倘若客户提交了 URL 序号标志符，像那般：

Coinbase 事实上会编码解码该字符串数组，并3D渲染相对性的标志符，像那般：

This is a test

运用它，报告者演试了如何提交带有登录名和用户名和密码字段的 HTML 表格，Coinbase 会3D渲染他。倘若这一客户是有意的，Coinbase 便会3D渲染一个表格，它将值提交给不良网站来捕获凭据（假设大伙儿填充并提交了表格）。

重要結果

假如你检验一个网站时，要检查它如何处理不一样类型的输入，包括文字和序号文本。特别是在要注意一些接受 URI 序号值，例如/，并3D渲染其编码解码值的网址，这里是/。虽然大伙儿不清楚这一例证中，黑客技术在你想干什么，她们很有可能尝试了 真实黑客入侵雷神模拟器 URI 序号限制标志符，并注意到 Coinbase 会编码解码她们。之后他们更一步 URL 序号了所有标志符。

http://quick-encoder.com/url 是一个很好的 URL 交流伺服电机。你一直在运用的情况下会注意到，它跟你说非限制标志符无需序号，并且提供了序号 URL 安全系数标志符的可选项。这就是得到 用于 COinbase 的一样序号字符串数组的方式。

2. HackerOne 在潜意识中 HTML 包含

难易度：中

URL：hackerone.com

报告联接：https://hackerone.com/reports/112935

报告時间：2016.1.26

奖金：$500

真实黑客入侵雷神模拟器

描述：

在读完 Yahoo XSS 的描述（第七章案例四），我对文本编辑中的 HTML 3D渲染检验导致了个人爱好。这包含随意玩 HackerOne 的 Markdown 在线编辑器，在图像标志中输入一些相仿i *** ap="yyy=xxx"和"'test"的物件。那般做的状况下，我注意到，在线编辑器会在双引号里面包含一个单引号 - 这称之为悬置灶具。

那个时候，我并没有真正掌握它的寓意。我明白了倘若你一直在某一地域注入另一个单引号，两个灶具便会被浏览器一起剖析，浏览器会将她们正中间的内容看作一个 HTML 元素，例如：

some content

'

运用这一例证，倘若你提前准备注入一个 Meta 标志：