XSS攻擊者可以使用span，p，label ...標籤

Question

我知道XSS攻擊者使用文本框將腳本注入頁面。我想知道是否可以在表單中使用範圍內的腳本，p，標籤元素，並將其注入到頁面中。我們應該試圖通過標籤來防止這種攻擊嗎？

Answer 1

您需要記住的是，XSS漏洞僅僅發生在不受信任的，未驗證的和未轉義的數據在網頁的任何位置呈現。這包括JavaScript，CSS和字面上HTML體內的任何地方。

如果您要生成完整的HTML元素來設置屬性，並不重要，因爲XSS很容易脫離它想要呈現的標記並插入自己的標記。

Answer 2

不限 HTML元素易受XSS攻擊，特別是如果動態生成從用戶輸入HTML元素。

Answer 3

備註：如果您使用的是UI庫，知道您傳遞給UI組件的用戶輸入是呈現爲HTML還是純文本 - 這很重要，因爲您只需要轉義用戶輸入即傳遞給實際呈現爲HTML輸入的組件。