Зачем убегать и избегать XSS

Question

Мне было просто интересно, кто-нибудь знает сценарий использования, где не экранирование от & до & приводит к уязвимости межсайтового скриптинга?Я думал об этом, но не смог придумать пример.

Заранее спасибо Конне

Answer 1

Вы можете попробовать что-то вроде этого

* * & Тысяча два # 39; + предупреждение (1) + & # 39;

работал на search.twitter.com до сегодняшнего дня.

https://twitter.com/#!/kinugawamasato/status/38539726470397952

Answer 2

Многое зависит от того, где приземлиться, но простым примером будет

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x31;&#x29;">XSS</a>    

, который представляет собой полезную нагрузку в кодировке html javascript: alert (1), которая будет срабатывать при щелчке ссылки XSS.Это также может быть использовано в iframe src, document.location =, window.open () или других методах, которые могут привести к декодированию и последующему выполнению html-кодированной полезной нагрузки.

Другой пример - посадка внутриодного события, которое отражает URL-адрес с внедрением, такой как

<a onclick='http://www.foo.com?injection=&#39;*alert(1)*&#39;'>XSS</a>

HTML-кодированная полезная нагрузка будет декодирована, выйдет из синтаксиса onevent и запустит внедренный JavaScript.