Un XSS real en google.com por Masato Kinugawa. Abusa de una diferencia de análisis entre un contexto con JavaScript habilitado y uno deshabilitado.
APRENDE EN HEXTREE (anuncio)
CAPÍTULOS
00:00 - Activando XSS en Google Search
00:40 - Por qué es difícil sanitizar HTML permitido
01:52 - Por qué la sanitización de HTML se mueve al navegador
02:33 - Marcado inválido y contextos de análisis del navegador
05:04 - XSS de mutación y límites del sanitizador del lado del servidor
05:35 - Cómo DOMPurify utiliza el elemento template
07:48 - Carga útil noscript de Masato Kinugawa
09:34 - La diferencia de análisis habilitada para scripting
10:06 - Depurando el XSS de Google Search
11:01 - La regresión de la Closure Library y la solución
APOYO
MIRA, SIGUE Y LEE
#SeguridadWeb #SeguridadDelNavegador #LiveOverflow
(anuncio) El canal de YouTube de LiveOverflow es apoyado por publicidad y colocación de productos.