跨站點腳本（XSS）：我需要逃避＆符號嗎？

Question

我想在html上下文中轉義爲XSS，到目前爲止我對待<，>和「字符。」 顯然，建議您也跳過＆符號，但爲什麼？（除了保持html有效，讓我們假設這不是問題）

所以我問的是： 當我逃避<，>和「，有人可以演示＆符號是否仍然可以允許在HTML上下文中的XSS攻擊？

乾杯！

Answer 1

你應該真的看一看在OWASP XSS預防備忘單上。

你應該逃脫&因爲它可以用來規避其他防禦。考慮以下代碼：

<button onclick="confirm('Do you really want to delete <%= data_from_user; %> ?'">Delete</button> 

爲了防禦XSS onclick事件處理程序中，開發者逃脫」，」 <和> data_from_user，認爲一切都是確定的問題是，如果攻擊者類型'其通過轉義，但最終允許攻擊者運行JavaScript

實例此：http://erlend.oftedal.no/blog/?blogid=124

最新問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 相關問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.