跨站点脚本（XSS）：我需要逃避＆符号吗？

Question

我想在html上下文中转义为XSS，到目前为止我对待<，>和“字符。” 显然，建议您也跳过＆符号，但为什么？（除了保持html有效，让我们假设这不是问题）

所以我问的是： 当我逃避<，>和“，有人可以演示＆符号是否仍然可以允许在HTML上下文中的XSS攻击？

干杯！

Answer 1

你应该真的看一看在OWASP XSS预防备忘单上。

你应该逃脱&因为它可以用来规避其他防御。考虑以下代码：

<button onclick="confirm('Do you really want to delete <%= data_from_user; %> ?'">Delete</button> 

为了防御XSS onclick事件处理程序中，开发者逃脱”，” <和> data_from_user，认为一切都是确定的问题是，如果攻击者类型'其通过转义，但最终允许攻击者运行JavaScript

实例此：http://erlend.oftedal.no/blog/?blogid=124

每日一句

每一个你不满意的现在，都有一个你没有努力的曾经。

最新问题

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 相关问题

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.