แปลและเรียบเรียงจาก Cross-Site Scripting Vulnerabilities โดย Jason Rafail, CERT Coordination Center
คุณคงจะเคยพิมพ์ที่อยู่ของเว็ปไซต์ผิด แล้วได้รับข้อความเตือนว่า "Error - page name could not be found" หรือ "The page you requested: page name des not exist" แต่ก็ไม่ได้ทำให้คุณคิดอะไรมาก คุณแก้ไขที่อยู่ของเว็ปให้ถูกต้องหรือเปลี่ยนไปเว็ปไซต์อื่นแทน ซึ่งอาจเกิดขึ้นอยู่บ่อย ๆ เนื่องจากเป็นลิงค์ที่ใช้การไม่ได้หรือเป็นลิงค์ที่พิมพ์ผิด อย่างไรก็ตามเมื่อคุณพบกับข้อความที่แสดงถึงข้อผิดพลาดดังที่ยกตัวอย่างข้างต้นแล้ว คุณอาจกำลังเจอกับความเป็นไปได้ในถูกการละเมิดความปลอดภัย โดยไม่ใช่ความปลอดภัยของเว็ปไซต์นั้น แต่เกิดขึ้นกับคุณโดยตรง
สมมุติว่าคุณได้ใส่ URL ที่สมเหตุสมผลต่อไปนี้
http://www.example.com/FILENAME.html
ถ้าเอกสาร "FILENAME.html" ไม่มีในเว็ปไซต์นั้น เว็ปไซต์ก็จะแสดงผลของข้อผิดพลาดเช่น
<HTML>
404 page does not exist: FILENAME.html
...
</HTML>
สังเกตได้ว่า "FILENAME.html" เป็นชื่อที่คุณป้อนเข้าไป เว็ปไซต์ได้แสดงชื่อนี้ในหน้าที่แสดงถึงข้อผิดพลาดส่งมายังบราวเซอร์ของคุณ
ดูเหมือนไม่มีอันตรายอะไร แต่ลองสมมุติดูว่าถ้าคุณกำลังดูเว็ปไซต์ประมูลยอดนิยม เรียกไซต์นี้ว่า auction.example.com คุณได้บังเอิญพบการประมูลของหลาย ๆ อย่างที่มีผู้โพสต์ประกาศไว้ และคุณต้องการที่เข้าไปดูสิ่งของรายการอื่น ๆ ที่คนนั้นมีเพื่อประมูล สมมุติว่าคน ๆ นี้ชื่อว่า "bad guy" (แม้ว่าคุณจะไม่รู้ว่าเขาชื่ออะไรก็ตาม) เรียกเขาว่า BG12345 แล้วคุณได้คลิกไปที่เว็ปไซต์ของ BG12345 แล้วจึงดูรายการของที่เขาต้องการประมูล คุณจึงคลิกลิงค์หนึ่งที่คุณสนใจในเว็ปเพจของเขา แล้วลิงค์นั้นจึงพาคุณไปที่ auction.example.com ที่แสดงให้เห็นรายละเอียดของสิ่งของเหล่านั้น แล้วเลื่อน scroll ลงไปเพื่อกดปุ่มเสนอราคาประมูล เว็ปที่ทำการประมูลนั้นบอกให้คุณป้อนชื่อและรหัสผ่าน เพื่อเข้าสู่ระบบ คุณจึงใส่ข้อมูลทั้งหมดลงไปแล้วจึงกดเพื่อส่งข้อมูล อาจจะดูเหมือนไม่มีอะไรผิดปกติแต่จริง ๆ แล้วข้อมูลที่คุณใส่ลงไปได้ส่งไปยัง BG12345 แล้ว เกิดขึ้นได้อย่างไร ? คำตอบคือ auction.example.com นั้นมีช่องโหว่ที่เรียกว่า cross-site scripting (CSS)
ช่องโหว่ CSS เกิดขึ้นเ**Hidden Content: To see this hidden content your post count must be 10 or greater.**
