有沒有辦法在現代瀏覽器中獲取CSS XSS？

我想知道是否有任何方法可以在現代瀏覽器上獲得CSS Style XSS？有沒有辦法在現代瀏覽器中獲取CSS XSS？

例如，在較舊的IE瀏覽器，以下是易感：

<div style="width:expression(prompt('XSS'))">

來源

2014-09-01 Hammad Shamsi

如果HTML是以文本形式動態構建的，並且用於style屬性（例如）的數據沒有轉義，那麼HTML注入仍然是可能的;但我懷疑這不是被要求的。 – user2864740 2014-09-01 20:51:35

你能解釋一下你打算如何使用它？可能有其他選擇。 – easwee 2014-09-01 20:52:53

號這個例子示出了完美，使用Javascript（或任何腳本）具有在CSS沒有到位，所以XSS（第二S是對於'腳本'）是不可能的。 CSS應該只是聲明性的，並且在符合W3標準的情況下執行。動態表達式現在使用calc完成，它只能評估簡單的數學表達式，而不使用JS引擎。

expression是一個IE瀏覽器只有黑客幫助具體功能，直到W3提出了一個替代方案。由於出現calc，因此不推薦使用expression。從IE11開始，expression is no longer supported in the Internet Zone。它是announced in 2008，它會以這種方式結束，特別是引用'作爲減少攻擊面'的核心原因之一。在比IE11更老的版本中，它已經有相當一段時間只支持怪異模式和IE7仿真模式無論如何。

總結：CSS沒有用於Javascript的地方，因此在正確實施時無法像XSS一樣在每個當前瀏覽器中進行攻擊。

來源

2014-09-01 20:54:23

「應該*不可*」或「不再可能在IE中」（而不是「不可能」）。 – user2864740 2014-09-02 02:41:21

如上所述，在IE11中，對公共場所「表達式」的支持完全被削弱了，並且在很多年以來一直受到嚴重限制。因此，除了缺陷和未知漏洞之外，這是不可能的。 – 2014-09-02 07:47:13

有沒有辦法在現代瀏覽器中獲取CSS XSS？

回答

相關問題