Istruzione regola di attacco di Cross-site scripting

Un'istruzione di attacco XSS (cross-site scripting) verifica la presenza di script dannosi in un componente di richiesta Web. In un attacco XSS, l'aggressore sfrutta le vulnerabilità di un sito Web innocuo per iniettare script dannosi del sito client in altri browser Web legittimi.

Nestable: puoi annidare questo tipo di istruzione.

WCU: 40 WCU, come costo base. Se utilizzi il componente di richiesta Tutti i parametri di interrogazione, aggiungi 10 WCU. Se utilizzi il corpo JSON del componente di richiesta, raddoppia il costo base delle WCU. Per ogni trasformazione di testo che applichi, aggiungi 10 WCU.

Questo tipo di istruzione funziona su un componente di richiesta Web e richiede le seguenti impostazioni del componente di richiesta:

• Componente di richiesta: la parte della richiesta Web per ispezionare, ad esempio, una stringa di query o il corpo.

  avvertimento

  Se ispezionate i componenti della richiesta Body, JSON body, Headers o Cookies, leggete le limitazioni relative alla quantità di contenuto AWS WAF che può essere ispezionata. Gestione di componenti di richiesta sovradimensionati in AWS WAF

  Per informazioni sui componenti della richiesta Web, consulta. Specificazione e gestione dei componenti della richiesta Web

• Trasformazioni di testo opzionali: trasformazioni che si desidera AWS WAF eseguire sul componente della richiesta prima di esaminarlo. Ad esempio, potete trasformare in lettere minuscole o normalizzare lo spazio bianco. Se specificate più di una trasformazione, le AWS WAF elabora nell'ordine elencato. Per informazioni, consulta Opzioni di trasformazione del testo.

Dove trovare questa dichiarazione di regole

• Generatore di regole sulla console: per il tipo Match, scegli Attack match condition > Contiene attacchi di iniezione XSS.

• API — XssMatchStatement