alert(), что приводит к выполнению произвольного кода.

Запутывание (обфускация) кода

Не все брандмауэры отбрасывают вредоносные строки, позволяя остальным пройти. Некоторые встроенные решения разрывают соединение напрямую, обычно в форме ответа 403 или 500. В таких случаях бывает трудно определить, какаячастьполезнойнагрузкисчитаетсябезопасной,акакаязапустилаблоккода.

По своей структуре встроенные межсетевые экраны должны быть достаточно быстрыми, и они не могут значительно задерживать обработку входящих данных. Результатом обычно является простая логика при попытке обнаружить SQL-инъекцию (SQLi) или XSS-атаки. Использование прописных символов в случайном порядке не можетобманутьэти фильтры, но можно смело предположить, что они не отображают на лету каждую за - прашиваемую HTML-страницу,не говоря уже о выполнении JS-кода для поиска вредоносной активности. Чаще всего встроенные межсетевые экраны приложений будут искать определенные ключевые слова и помечать входные данные как потенциально опасные. Например, alert() может вызвать блокировку, в то время как само по себе слово alert выдаст слишком много ложных срабатываний.

Чтобы увеличить шансы на успех и снизить уровень шума, можно изменить способ вызова функции alert() неограниченным образом – все благодаря JavaScript.Можно протестироватьэто в консоли браузера,проверив встроенную функцию alert(). Объект window будет содержать ссылку на нее, и мы можем подтвердить это, вызвав функцию без скобок. Консоль укажет, что это встроенная функция с [native code],отображаемая в качестве ее тела.Следовательно, это не пользовательская функция,и она определяется ядром браузера­ .

В JavaScript естьнесколько способовдоступа к свойствам объекта,втом числе ссылки на функции,такие как alert.

На рисунке показано, как можно получить доступ к той же функции напрямую или с помощью нотации массива,используя строку "alert" в квадратных скобках.

Рис.2.34. Различные способы получения доступа к функции alert()