Amit Klein
Altre info
- Noto per
- XSS basato su DOM, HTTP response splitting
- Affiliazione
- Sanctum, Trusteer
- Nazionalità
- Israele
Ricercatore israeliano di sicurezza web che ha dato un nome a due classi di attacco prima che la maggior parte degli sviluppatori avesse sentito parlare della prima.
Nel 2004 Klein descrisse l'HTTP response splitting: se un server inserisce l'input dell'utente in un'intestazione di risposta senza eliminare i ritorni a capo, un aggressore può chiudere la risposta in anticipo e scriverne una propria, che una cache intermedia memorizzerà volentieri e servirà a tutti gli altri. L'anno dopo arrivò il suo articolo sull'«XSS di terzo tipo», l'XSS basato su DOM, in cui il payload non tocca mai il server e prende vita solo quando il JavaScript della pagina legge dall'URL.
Questo terzo tipo è diventato una voce fissa in ogni tassonomia XSS quando le single-page application hanno spostato la logica nel browser. Klein è stato poi CTO di Trusteer e si è occupato in seguito di canali laterali negli stack di rete.