filter - 如果没有 < 如果可以，xss 是否可行？

Question

如果只有 < 被过滤，xss 可能吗？在您在网站上发表评论的上下文中，然后将其显示给用户。如果是这样，我还没有看到任何这样的向量，我很想看看它是如何可能的。

score 1 · Accepted Answer

当然; 虽然漏洞利用需要知道如何使用数据，但这里有一个反例，显示了不需要使用<. 在这种情况下，服务器错误地构建了一个 JavaScript 代码块，例如var post = '$foo';- 哎呀！

<script>
    var post = 'Imagine this was set ';HackIt();'on the server';
    ShowPost(post);
</script>

（恶意数据是Imagine this was set ';HackIt();'on the server。）

1 回答 1