内容处置时通过 PDF 的 XSS：内联？

信息安全 网页浏览器 xss 饼干
2021-08-13 05:09:37

这里有两个问题：

  1. 当 Content-Disposition: 是“内联”时，是否可以在 PDF 文件中包含 XSS？
  2. 如果可能的话，pdf 是否可以像访问普通的 html 文件一样访问该域的 cookie？

如果这仅适用于某些特定的 pdf 文件阅读器和/或浏览器，那就太好了。

1个回答

是的，Adobe acrobat reader 插件在这方面存在问题，只是谷歌搜索“adobe acrobat plugin javascript attack cookie”。我不确定内置的 JS 查看器是否存在类似问题，或者它们是否被设计为存在于单独的来源中，以便相同的来源策略拒绝访问。我认为您甚至不需要明确指定Content-Disposition: inline.

其它你可能感兴趣的问题
上一篇如何检查 Mac 应用程序是否启用了 NX 或 ASLR？ 下一篇如何将用户的密钥存储在服务器上？