0
Sargez
17.09.18
✎
16:12
|
Здравствуйте,
База опубликована. Веб-сервер апач. В сторонней базе использую след.код для подключения, причем в текст запроса подсовываю просто имя публикации И некий код вообще сторонний внутри тега <script>, не вызываю никакого веб-сервиса или хттп сервиса:
SSL = Новый ЗащищенноеСоединениеOpenSSL();
тСоединение = Новый HTTPСоединение("10.1.1.1", 443 , "user", "123" , , ,SSL);
ТекстЗапроса = "/MyBaseToConnect/ws/bfnsi%22%3e%3cscript%3ealert(1)%3c/script%3enwaz3HTTP/1.1";
Заголовки = Новый Соответствие;
Заголовки.Вставить("X-XSS-Protection", "1; mode=block");
тHTTPЗапрос = Новый HTTPЗапрос(ТекстЗапроса,Заголовки);
тОтвет = "";
Попытка
тHTTPОтвет = тСоединение.Получить(тHTTPЗапрос);
тОтвет = тHTTPОтвет.ПолучитьТелоКакСтроку();
Исключение
Сообщить("Не удалось установить соединение. " + ОписаниеОшибки());//(ОписаниеОшибки());
КонецПопытки;
Подскажите, почему на выходе 1с мне выдает такое сообщение? те дублирует мой отправленный запрос, а не выдает ошибку или еще что-то, причем статус ответа 200, ниже возврат:
"<html><body><a href=";
Заранее благодарен!
|
|
3
Sargez
17.09.18
✎
16:16
|
(1) на мой взгляд явно не возвращать обратный запрос, в котором может содержаться вредоносный код. и при получении обратно клиентской машиной, исполниться, скажем то, что было внутри script
|
|