常见的攻击模式枚举和分类

攻击者利用级联样式表(CSS)注入窃取受害者的浏览器跨域的数据。攻击是通过滥用有关加载CSS标准:1。在任何负载发送cookie的CSS(包括跨域)2。当解析返回CSS忽略所有数据没有意义之前找到一个有效的CSS描述符的CSS解析器。

通过控制受害者的一些文本域,攻击者能够注入一个看似有效的CSS字符串。它并不重要,如果这个CSS字符串之前其他数据。CSS解析器仍将CSS定位字符串。如果攻击者能够控制两个注射点,之前一个攻击者感兴趣的跨域数据接收和另一个之后,攻击者可以使用这种攻击窃取所有的数据在两个CSS注入点演出时引用注入CSS呈现在网站上,攻击者控制。当渲染,CSS解析器将检测到有效的CSS字符串解析和忽略的数据“没有意义”。这些数据将会被呈现。这些数据实际上是攻击者的数据只是偷了跨域。偷来的数据可能包含敏感信息,这样的CSRF保护令牌。

此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。 此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。