Звертайте увагу, в які теги HTML коду потрапляє ваш впроваджений код. Ось приклад типового поля введення ( input):

Наше корисне навантаження потрапить туди, де зараз слово «наволочка». Тобто. перетворитися на значення тега input. Ми можемо цього уникнути - закриємо подвійну лапку, а потім і сам тег за допомогою "/>

"/>

Давайте спробуємо її для якогось сайту:

Добре, вразливість є

Програми для пошуку та сканування XSS вразливості

Напевно, всі сканери веб-застосунків мають вбудований сканер XSS вразливостей. Ця тема є неосяжною, краще знайомитися з кожним подібним сканером окремо.

Існують також спеціалізовані інструменти для сканування на XSS вразливості. У тому числі особливо можна назвати.

JavaScript має три базові операції, які дозволяють отримувати дані від користувача, для подальшої їх обробки в скриптах. Це alert, prompt та confirm. Для чого вони застосовуються, як їх використовувати та інші нюанси та будуть розглянуті далі у цій статті.

alert

Застосовується для виведення на екран браузера модального вікна (це означає, що користувач нічого не може натиснути на сторінці, поки не закриє це вікно. У прикладі, доки не клікне «ОК» у вікні).

Після виведення повідомлення, що міститься в alert, виконання скрипта зупиняється та відновлюється після закриття модального вікна.

У разі заповненняполя та натискання ОК, у скрипт повернеться інформація, яку ввів користувач.

Синтаксис цієї командидещо складніше, ніж попередньої, оскільки дозволяє задати текст звернення до користувача та поля, що можливі, для введення інформації, яке буде виводитися за замовчуванням: result = prompt(title, default);, де

• title– повідомлення, яке буде виведено користувачеві у модальному вікні. Аргумент є обов'язковим для заповнення.
• default– те, що виводиться у полі для введення тексту за промовчанням. Також обов'язковий для заповнення, оскільки якщо його не задати, це може призвести до помилок в деяких браузерах. Якщо ви хочете залишити поле введення інформації порожнім, то просто задайте prompt наступним чином:

  var myTest = prompt("Будь-яке інфо", """);

Маленький приклад використання prompt:

var year = prompt( "У якому році ви закінчили ВНЗ?", 2008); alert("Ви випускник" + year + "року!");

Зазвичай, ця команда використовується для збору даних у користувачів, які необхідні скрипту для продовження подальшої роботи.

confirm

Також є модальним вікном. Як не складно здогадатися з назви використовується зазвичай для узгодження чогось із користувачем.

Для того і заточена – для взаємодії надає користувачеві кнопки OK та CANCEL, які повертають скрипту булеви значення true та false відповідно. Оцінок: 4 (середня 4 з 5)

У цій статті ми вивчимо три цікаві методи, а саме методи alert(), confirm() та prompt(). Вони всі призначені для взаємодії з користувачем.

Всі ці три методи належать об'єкту window(Вікно браузера). І вони можуть викликатися таким чином: window. Назва_метода (); Але JavaScript нам дозволяє цей об'єкт window не вказати, а писати просто назву методу.

Почнемо ми з методу alert(). Даний метод виводить зазначене повідомлення у віконце браузера користувача. Це вікно відобразиться поверх усієї сторінки, і поки користувач не натисне кнопку OK, воно не закриється.

Для демонстрації виведемо якесь повідомлення за допомогою методу alert()

Var today_is = "Понеділок"; alert("Сьогодні" + today_is);

Всередині методу ми можемо вказати будь-який рядок тільки без html тегів. Вони тут не обробляються, а виводяться як є.

Якщо рядок, який хочемо вказати дуже довгий, і ми хочемо зробити перехід на новий рядок, то тут html тег
не спрацює. Тут потрібно використовувати символ \n.

Alert("Looooooooong \nStringggggggg");

Цей метод використовується часто для пошуку помилки у коді.

Процес обробки коду йде зверху вниз, тому для лову помилки просто пишемо метод alert() в передбачувану область, де знаходиться помилка. І якщо alert() спрацював, значить до рядка, де його написано, помилок немає.

Далі потрібно його перенести на один рядок або більше нижче. Зберігаємо зміни, знову оновлюємо сторінку в браузері, і дивимося, якщо alert() спрацював, значить, помилок до рядка, де він знаходиться, ні, інакше, якщо він не спрацював, помилка знаходиться в рядок вище за той, де він зараз знаходиться. Таким чином можна знайти помилку в коді.

метод confirm()

Цей метод використовується для підтвердження відповіді на якесь питання. Є тільки два варіанти відповіді, так(OK) чи ні(Cancel/Скасувати). Якщо користувач відповідає так, то метод повертає істину (true), інакше він повертає лож (false).

Наприклад, виведемо віконце з допомогою методу confirm(), де запитаємо користувача " Ви точно хочете залишити сторінку? " . Якщо користувач відповість так, то через метод alert() виведемо таке повідомлення "Користувач хоче залишити сторінку", інакше виведемо інше повідомлення "Користувач НЕ хоче покинути сторінку".

Var user_answer = confirm("Ви точно хочете залишити сторінку?"); if(user_answer) alert("Користувач хоче залишити сторінку"); else alert("Користувач НЕ хоче \nзалишити сторінку");

Таким чином працює метод confirm(). Він може використовуватись у різних випадках. Наприклад, перед тим як видалити щось із сайту прийнято запитати користувача, чи впевнений він у свої дії. Або перед тим як відправити форму, теж можна запитати користувача "Ви все заповнили правильно?", якщо він відповість так, то форма відправитися, інакше вона не відправиться.

Метод prompt()

І останній метод, який ми вивчимо, це метод prompt(). Даний метод використовується рідше, ніж решта двох методів. Він дозволяє отримати інформацію від користувача, яку він введе в текстове поле.

Як результат, метод prompt() повертає або введений рядок, якщо користувач натиснув кнопку OK, або null, якщо користувач натиснув кнопку скасування.

Як параметр, тобто всередині дужок даного методу ми можемо написати вказівний рядок або питання, щоб користувач знав яку інформацію необхідно ввести.

Наприклад, попросимо користувача відповісти на запитання "Як Вас звуть?" Введене користувачем ім'я відобразимо на екран за допомогою методу alert().

Var name = prompt("Як Вас звуть?"); alert("Вас звуть" + name);

Зберігаємо та відкриваємо сторінку в браузері.

Зрозуміло, у текстове поле методу prompt() можна ввести будь-яку інформацію. Ця інформація буде повернена як рядок, навіть у випадку чисел або інших спецсимволів.

Наприклад попросимо користувача ввести дві числа, щоб потім помножити їх. Буде якийсь калькулятор для множення чисел.

Var x = prompt("Введіть перше число:"); var y = prompt("Введіть друге число:"); //Перетворення введених чисел з рядкового типу на числовий тип x = Number(x); y = Number(y); document.write(x + " * " + y + " = " + (x * y));

Введені числа є рядками, тому для правильного результату множення необхідно ці числа пройти через функцію Number(), яка перетворює їх з рядкового типу в нормальні числа.

Ну, і на цьому все. Тепер Ви знаєте ще три методи: alert(), confirm() та prompt(). Яких Ви можете використовувати на практиці.