Обсуждение: CWE/SANS Top 25 Most Dangerous Software Errors

[RXL]

https://forum.shelek.ru/index.php/topic,28557.msg280039.html#msg280039

№4: http://cwe.mitre.org/top25/#CWE-79

Я вот не понимаю, что такое "межсайтовый скриптинг" (XSS). Может кто-нибудь объяснить по простому?

Просто XSS упоминается в №12: ( http://cwe.mitre.org/top25/#CWE-352 ), а данный вопрос я тоже не могу понять. К примеру, в implemetation написано "Check the HTTP Referer header to see if the request originated from an expected page.". По моему это фигня, мертвому припарки. Не Referer надо проверять, а входные данные.

Кстати, извиняюсь, данные пункты совсем не про embedded.

[Sla]

Не Referer надо проверять, а входные данные.
Да входные данные проверять надо, но referer - это такие же входные данные.

Я при обработке формы проверяю referer, только для того чтоб отсечь каких либо роботов... и мне это удалось. нет referer - нет ответа. Форма "ниоткуда" не должна обрабатываться

[RXL]

Но его легко подделать. Да и, как там же написано, прокси может его убрать совсем. Поля протокола, формируемые клиентом независимо от сервера, по умолчанию являются подозрительными данными и требуют осторожного обращения.