Ne XSS kann auch über POST- und GET-Requests an den Webserver diesen dazu bewegen, dass er eine URL aufruft und den Inhalt der aufgerufenen Seite irgendwo einbettet. Vorraussetzung ist natürlich, dass dort ein Skript/eine Webapp ist, das solchen Quatsch macht. Mag sein, dass XSS dafür nicht der richtige Begriff ist, ist mir aber nur als "Form von XSS" bekannt. Eine Joomla-Komponente hatte mal vor einiger Zeit eine solche Lücke, auf die ich auch durch seltsame GET-Requests an den Webserver aufmerksam geworden bin. Bin mir aber nicht mehr sicher, ob der Webserver da mit einer 200 oder mit einem 302, wie beim 302-Hijacking, geantwortet hat. |