xss繞過尖括號和雙引號轉義

Question

說我想惡意地調用已經定義的函數myfunc（）。

如何繞過雙引號和尖括號轉義來實現xss攻擊？

<h2>Profile of INPUTNAME</h2><p>INPUT2</p><a href="INPUTURL">Homepage</a> 

（上盒領域是用戶輸入） 我怎麼能叫MYFUNC（）不增加它周圍的腳本標記？

Answer 1

你可以試試這些注射

INPUTNAME=<img src=X onerror=myfunc> 
INPUTURL="><img src=X onerror=myfunc> 

將嘗試調用MYFUNC javascript函數，因爲它將無法加載名爲X

Answer 2

（UN）的圖像幸運似乎XSS不會在這種情況下是可能的。

如果尖括號和雙引號字符被轉義，這足以阻止HTML正文中的XSS和雙引號實體值上下文。

從技術上講，對於HTML正文XSS Experimental Minimal Encoding Rules，&字符也應該被編碼，但我不能在這裏看到一種方法來將它用於HTML正文或​​實體值中的攻擊者的優勢。

唯一的例外是如果該字符集被指定爲UTF-7 (or as the attacker you could change it to such) then you could use the following attack：

INPUTNAME = +ADw-script+AD4-myfunc()+ADw-/script+AD4- 

這將被渲染爲

<h2>Profile of <script>myfunc()</script></h2><p>INPUT2</p><a href="http://example.com">Homepage</a>