XSS（跨站點腳本）與 HTML 注入

Question

我們如何准確區分 XSS 和 html 注入。 這兩者都屬於代碼注入，XSS 主要與 Java Script 相關，但還包括其他其他元素，如Miter 上所述。 引用此來源：

在頁面生成期間，應用程序不會阻止數據包含可由 Web 瀏覽器執行的內容，例如JavaScript、HTML 標記、HTML 屬性、鼠標事件、Flash、ActiveX 等。

雖然 HTML 主要與注入 HTML 代碼有關，如果我瀏覽OWASP 的這個頁面，它指出 HTML 注入是一種 XSS。 引用此來源：

如果這些方法提供了不受信任的輸入，那么XSS 的風險很高，特別是 HTML 注入。

另一方面，許多消息來源聲稱 HTML 注入是 XSS 的子集，例如OWASP 的這個頁面。 引用此來源：

跨站腳本，更廣為人知的是 XSS，實際上是 HTML 注入的一個子集

有消息來源試圖解釋兩者之間的差異，但似乎沒有一個是令人滿意的答案（而是有爭議）。 那么它們究竟有什么不同呢？ 其中一個可以被視為另一個的子集嗎？

Answer 1

這些來源尚未達成共識。 如果來源彼此矛盾，則在使用術語時，您必須弄清楚正在使用的定義。

一些資料似乎將XSS解釋為Javascript注入（ 1和2 ），然后類似於HTML注入。 在此定義下，兩者都是代碼注入的互斥子集。

其他人會將XSS定義為代碼注入（ 3 ），其中senario HTML注入是XSS的子集。

Answer 2

HTML注入是XSS（跨站點腳本）攻擊的超集 。 為了成功進行XSS攻擊，攻擊者需要在目標HTML頁面中注入並運行JS代碼。

Answer 3

Xss與JavaScript有關，但是我同意它也包含HTML實體，因此也被認為與HTML注入密切相關，但是請注意，測試人員使用的有效負載主要僅用於演示目的，並不包括該漏洞的實際影響，因此它們甚至不包含太多JavaScript。 同樣，某些HTML實體對於突破上下文很重要，但這並不類似於HTML注入。