替代javascript：當冒號被過濾

Question

我在我的網站上設置了一個特意容易受到攻擊的表單來測試一些xss向量。 然後，我認爲與HREF的XSS，如果：過濾，那麼將如何可能，因爲你必須插入javascript:alert(1)像這樣<a href="javascript:alert(1)"？說％3A也是不允許的。 感謝任何能夠幫助我的人。

Answer 1

要字面上回答你的問題，如果只是<，>，:，%和報價被過濾，那麼你仍然可以做

javascript: 

http://jsfiddle.net/zaN9m/

請不要把這個作爲一個提示只需添加這個額外的字符。這正是你一直落後的遊戲，你總是 。如果你做了「過濾所有不好的字符」的東西，你將無法允許無害的輸入，所以是的。

考慮當你開始尋找:並且我通過javascript:&:#:5:8:;會發生什麼。過濾器不會檢測到:那裏 ，但會刪除冒號，結果將是javascript:冒號被濾除後，它又是一個將軍。

你想要做的是看看該網址是否有一個方案，並將其與已知的良好方案（如http和https）相匹配。然後您將有 將HTML編碼應用於結果。這是防彈的，你不必玩遊戲。