XSS和其他终止JavaScript字符串的方法

JavaScript中是否有其他终止字符串的方法

我正在测试服务器的XSS漏洞，并在HTTP响应中看到以下代码：

<script>
var myVar = "USER CONTROLLED STRING";
</script>

var myVar=“用户控制字符串”；

用户控制的字符串来自URL，并且在生成响应之前删除所有双引号。除此之外，所有其他字符都是允许的

XSS可能吗

（是的，我知道正确的做法是按照的建议对所有非字母数字字符进行十六进制编码（\xHH），但从测试人员的角度来看，我想知道我是否可以利用这一点。）

A

将表示脚本，无论生成的JavaScript代码是否有效。这是由于脚本元素所属的：

和中的文本不得包含字符串“

”（U+003E）或“

/

”（U+002F）的任何引用

无论生成的JavaScript代码是否有效，

都表示脚本。这是由于脚本元素所属的：

和中的文本不得包含字符串“

”（U+003E）或“

/

”（U+002F）的任何引用

---

是的，您可以执行攻击：

var myVar=“警报（'hacked'）；”；

是的，您可以执行以下攻击：

var myVar=“警报（'hacked'）；”；

<script>
var myVar = "</script><script>alert('hacked');</script>";
</script>