问攻击表面的网站，只承载静态内容，HTML和图像？

EN

即使没有易受攻击的web应用程序，仍然有大量其他代码可能易受攻击。

• 静态内容必须以某种方式进入服务器，例如通过FTP或受密码保护的web接口。这些服务的密码可能太弱，或者这些服务可能存在其他漏洞。
• web服务器本身可能存在一个漏洞，该漏洞在此有限的使用场景中仍然适用。
• The服务器的操作系统可能存在漏洞。
• 或者，操作系统可能提供某种形式的远程登录(如UNIX上的SSH、Windows上的RDP或VNC )，但安全性不够。
• 然后还有对服务器硬件的物理访问。

静态页面仍然容易受到碎片攻击的影响：

避免向服务器发送有效负载的技术取决于URI片段(“#”之后的URI中的部分)没有通过浏览器发送到服务器。因此，引用(例如document.location )的任何客户端代码都可能容易受到使用碎片的攻击，在这种情况下，有效负载永远不会发送到服务器。例如，上面基于DOM的XSS可以修改为：http://www.some.site/page.html#default=alert(document.cookie)，它在不被服务器看到的情况下挂载相同的攻击(它只会看到没有任何page.html参数的page.html请求)。2006年12月，Stefano Di Paola和Giorgio Fedon描述了XSS对Acrobat插件(4.)的普遍攻击。这种攻击将基于DOM的XSS的片段变体应用于PDF文档。研究人员发现，当Acrobat插件呈现给浏览器时，PDF文档可能会以Javascript的形式执行片段的一部分。由于Javascript是在当前站点的上下文(DOM)中执行的，利用此漏洞所需的所有攻击者只需在站点的某个地方查找PDF链接即可满足XSS条件。