Имя: Пароль:
1C
1С v8
Публикация базы. Веб-сервер Apache
0 Sargez
 
17.09.18
16:12
Здравствуйте,

База опубликована. Веб-сервер апач. В сторонней базе использую след.код для подключения, причем в текст запроса подсовываю просто имя публикации И некий код вообще сторонний внутри тега <script>, не вызываю никакого веб-сервиса или хттп сервиса:
SSL = Новый ЗащищенноеСоединениеOpenSSL();

тСоединение = Новый HTTPСоединение("10.1.1.1", 443 , "user", "123" , , ,SSL);

ТекстЗапроса = "/MyBaseToConnect/ws/bfnsi%22%3e%3cscript%3ealert(1)%3c/script%3enwaz3HTTP/1.1";


Заголовки = Новый Соответствие;

Заголовки.Вставить("X-XSS-Protection", "1; mode=block");

тHTTPЗапрос = Новый HTTPЗапрос(ТекстЗапроса,Заголовки);

тОтвет = "";

Попытка

тHTTPОтвет  = тСоединение.Получить(тHTTPЗапрос);

тОтвет = тHTTPОтвет.ПолучитьТелоКакСтроку();

Исключение

Сообщить("Не удалось установить соединение. " + ОписаниеОшибки());//(ОписаниеОшибки());

КонецПопытки;


Подскажите, почему на выходе 1с мне выдает такое сообщение? те дублирует мой отправленный запрос, а не выдает ошибку или еще что-то, причем статус ответа 200, ниже возврат:
"<html><body><a href="https://10.1.1.1/MyBaseToConnect/ws/bfnsi"><script>alert(1)</script>nwaz3HTTP/1.1?wsdl">https://10.1.1.1/MyBaseToConnect/ws/bfnsi"><script>alert(1)</script>nwaz3HTTP/1.1</a></body></html>";

Заранее благодарен!
1 Вафель
 
17.09.18
16:14
а что должен выдавать?
2 Sargez
 
17.09.18
16:15
3 Sargez
 
17.09.18
16:16
(1) на мой взгляд явно не возвращать обратный запрос, в котором может содержаться вредоносный код. и при получении обратно клиентской машиной, исполниться, скажем то, что было внутри script
4 Sargez
 
17.09.18
16:41
up

кто-нибудь знает как можно заставить выдавать ошибку или не возвращать отправленный запрос обратно?
Пользователь не знает, чего он хочет, пока не увидит то, что он получил. Эдвард Йодан