nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérifier l’encodage de sortie dans les contextes HTML

AdminUser

Discussion de test préétablie. Comment vérifieriez-vous l’encodage de sortie dans les contextes HTML lors d’un audit autorisé ?

Scénario : insérez des chaînes de test inoffensives dans des champs de texte approuvés et observez leur rendu dans le texte de la page et dans les attributs. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/31-checking-output-encoding-in-html-contexts

Réponses

AdminUser

Méthode de test : Insérez des chaînes témoins inoffensives dans les champs de texte autorisés et observez leur rendu dans le texte et les attributs de la page. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuve : Consignez l’emplacement de l’entrée et le contexte du DOM affiché sans utiliser de charges utiles actives contre des utilisateurs. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corrigez et testez à nouveau : Encodez la sortie en fonction de son contexte et assainissez le texte enrichi pris en charge. Répétez le contrôle initial après le déploiement et consignez le résultat.