Требуется объяснение конкретного вектора атаки XSS

Question

Итак, мой школьный сайт взломан, потому что мой профессор получил XSS-ред. Итак, я обнаружил, что злоумышленник использовал этот вектор атаки XSS

<img src="<img src=search"/onerror=alert("Xss")//">

Может кто-нибудь объяснить мне, как работает этот вектор, и как вы предлагаете мне настроить мой сайт против дальнейших атак XSS. Почему img внутри тега img? Спасибо ..

Answer 1

Просто он заканчивает ваш тэг src, а затем вставляет свой собственный обработчик ошибки. Ошибка вызывается, когда изображение не может быть загружено. Вы можете не допустить, чтобы это ускользнуло от любого пользовательского ввода - ожидайте, что каждый пользователь пытается взломать ваш сайт.

В PHP вы можете сделать это, используя:

strip_tags($_POST['val']):