Protection ModSecurity contre les attaques XSS Type 0 et Impact

Question

XSS basé sur DOM (type 0) ne nécessite pas l'envoi de code malveillant au serveur et peut donc également utiliser des pages HTML statiques comme vecteur d'attaque. Un exemple d'une chaîne d'attaque fictive ici serait la suivante:

http://www.xssed.edu/home.html#<script>alert("XSS")</script> 

Je connais que ModSecurity offre une protection contre les attaques XSS dans les fichiers PDF qui sont considérés comme le type 0 attaques, mais ma question est de savoir si ModSecurity ne en général prévenir contre ce type de XSS et aussi à votre avis quels sont les impacts d'une telle vulnérabilité.

Answer 1

Chaque pare-feu d'application Web fonctionne en utilisant des signatures d'attaques. XSS de type-0 génère la même signature que XSS réfléchie, ce qui devrait probablement être arrêté par n'importe quel WAF. Type-0 XSS ne se produit pas en raison de la vulnérabilité de code de site serveur, mais la demande atteint évidemment le serveur dans le processus de chargement de la page. Le seul problème qui pourrait empêcher le WAF d'arrêter ce type d'attaque est l'extension du fichier, mais je crois que dans votre exemple, ce serait probablement arrêté.