Instrução de regra de ataque de script entre sites

Uma instrução de ataque XSS (cross-site scripting) inspeciona scripts maliciosos em um componente de solicitação da web. Em ataques XSS, o invasor usa vulnerabilidades em um site benigno como veículo para injetar scripts mal-intencionados no lado do cliente em outros navegadores legítimos.

Aninhável: você pode aninhar esse tipo de instrução.

WCUs: 40 WCUs, como custo base. Se você usar o componente de solicitação Todos os parâmetros de consulta, adicione 10 WCUs. Se você usar o Corpo JSON do componente de solicitação, dobre as WCUs de custo base. Para cada Transformação de texto aplicada, adicione 10 WCUs.

Esse tipo de instrução opera em um componente de solicitação da web e requer as seguintes configurações do componente de solicitação:

• Componente de solicitação: a parte da solicitação da web para inspecionar, por exemplo, uma string de consulta ou o corpo.

  Atenção

  Se você inspecionar os componentes da solicitação Body, JSON body, Headers ou Cookies, leia sobre as limitações de quanto conteúdo AWS WAF pode ser inspecionado. Tratamento de componentes de solicitação de tamanho grande no AWS WAF

  Para informações sobre componentes de solicitação da web, consulte Especificação e tratamento de componentes de solicitações da Web.

• Transformações de texto opcionais — Transformações que você deseja AWS WAF realizar no componente de solicitação antes de inspecioná-lo. Por exemplo, você pode transformar para minúsculas ou normalizar o espaço em branco. Se você especificar mais de uma transformação, as AWS WAF processará na ordem listada. Para mais informações, consulte Opções de transformação de texto.

Onde encontrar essa instrução de regra

• Construtor de regras no console: para Tipo de correspondência, escolha Condições de correspondência de ataque > Contém ataques de injeção de XSS.

• API — XssMatchStatement