Специально для игр Unity, скомпилированных для Интернета.
Поскольку веб-экспортер Unity нацелен на HTML5, делает ли это его уязвимым для XSS-атаки. Предположим, например, что есть многопользовательская игра, в которой пользователи могут вводить и сохранять текст, который будут просматривать все игроки в игре. Сможет ли злоумышленник внедрить некоторый javascript, который затем будет выполняться на всех клиентах, запускающих игру, которые могут видеть введенный текст?
ответ во многом зависит от того, как настроен ваш сервер, но в целом любые данные, которые вы отправляете на сервер и обрабатываете без дезинфекции, делают его открытым для атаки XSS. Опять же, это зависит от того, что вы делаете с этими данными, но рекомендуется постоянно дезинфицировать ваши данные. здесь нет ничего особенного для WebGL, если только вы не запускаете экземпляр WebGL на своем сервере для обработки этих данных.
Да, в некотором роде. Если вы разрешите несанитизированный код на своей веб-странице, будь то шейдеры JS или WebGL или что-то еще, он может и будет выполнять и использовать ваших пользователей.
При этом я никогда не слышал об использовании WebGL в XSS. В некотором смысле, вероятно, потому, что несколько проще (и люди делают это дольше) внедрить небольшой скрипт на страницу, чем запустить и запустить полный шейдер. И что еще более важно, XSS-атаки обычно связаны с кражей информации у пользователей или заставляют их автоматически «выполнять действия», на которые они не санкционированы, и тому подобное. Использование тонны мощности графического процессора не так уж полезно для достижения целей хакера XSS.
Если мы когда-нибудь увидим, что WebGL используется в XSS-атаке, я предполагаю, что это, вероятно, будет схема криптомайнинга, поскольку это одна из немногих вещей, которые выиграют от вычислительной мощности GPU.
Чтобы смягчить это, как и все XSS, дезинфицировать, дезинфицировать, дезинфицировать! Убедитесь, что ни один шаг от клиента к серверу обратно к клиенту не может то, что пользователь вводит в этом поле, выполнять что-либо самостоятельно, Javascript, SQL , WebGL, ничего.
