Cross-Site Scripting: Self

向一个 Web 浏览器发送未经验证的数据会导致该浏览器执行恶意代码。

Cross-Site Scripting (XSS) 漏洞会在以下情况下发生：

1.数据通过一个不可信赖的数据源进入 Web 应用程序。对于 Self-XSS，将从文本框或可以通过 DOM 控制的其他值读取数据，并使用客户端代码将其重新写入该页面。


2.未经验证但包含在动态内容中的数据将传送给 Web 用户。对于 Self-XSS，恶意内容都将作为 DOM（文档对象模型）修改的一部分执行。

对于 Self-XSS，恶意内容通常采用 JavaScript 代码片段的形式，或者其他任意一种可以被浏览器执行的代码的形式。由于 Self-XSS 主要是对自身进行攻击，因此往往被认为不重要，但在以下情况下，应将其与标准 XSS 缺陷同等对待：

- 在您的网站上识别到 Cross-Site Request Forgery 漏洞。
- 社会工程攻击可能诱使用户攻击他们自己的帐户，从而破坏其会话。
示例 1：考虑使用 HTML 表单：

<div id="myDiv">
  Employee ID: <input type="text" id="eid"><br>
  ...
  <button>Show results</button>
</div>
<div id="resultsDiv">
  ...
</div>

下面的 jQuery 代码片段可从文本框中读取雇员 ID，并将其显示给用户。

$(document).ready(function(){
  $("#myDiv").on("click", "button", function(){
    var eid = $("#eid").val();
    $("resultsDiv").append(eid);
    ...
  });
});

如果文本输入中 ID 为 eid 的雇员 ID 仅包含标准字母数字文本，则这些代码示例可正确运行。如果 eid 中的某个值包含元字符或源代码，则在用户点击该按钮之后，代码将被添加到 DOM 以供浏览器执行。如果攻击者可以诱使用户将恶意内容输入到文本输入，就成了基于 DOM 的 XSS。