Cross Site Scripting

• XSS (différent de CSS == Cascading Style Sheet)

  • Insertion non prévue de code HTML ou JavaScript dans la page envoyée par le serveur
  • Exécution de ce code par le navigateur dans le contexte de sécurité du document envoyé par le serveur
  •  Attaque par injection de code sur le navigateur du client via le serveur

• Trois participants :

  • L'attaquant : introduit le code sur le serveur.
  • Le serveur : envoie la page contenant le code à la victime.
  • La victime : exécute le code introduit par l'attaquant.

• Deux méthodes pour injecter le code :

  • Stockage par le serveur
  • Page générée à partir de paramètres