Javascript 使用window.location可以进行哪些XSS攻击

使用

window.location

和用户输入数据重定向时可以进行哪些XSS攻击

我觉得这个

• 用户可以使用包含

  http://

  的标题撰写文章，因此最终用户最终会进入一个糟糕的站点
• 用户可以写一篇标题为“

  javascript:EvilCode（）

  ”的帖子，我想这会在一些浏览器中执行吗

---

如果不首先对数据进行URL编码，则可能允许。

如果不首先对数据进行URL编码，则可能允许。

window.location.href=Post\u Title

没有任何意义，因为帖子标题不是URL？如果文章标题只是URL的一部分，你就必须对其进行URL编码，这可能是一个糟糕的例子。但问题是，可能是URL执行代码，或者将用户重定向到另一个页面。URL编码有什么困难？甚至PHP和JavaScript都内置了这些功能。我的问题更像是可以进行什么类型的XSS攻击。所有类型，如HTML注入和任意JavaScript注入。不过，我看不出问题的重点，因为任何类型的XSS对您的应用程序都是致命的。

window.location.href=Post\u Title

没有任何意义，因为帖子标题不是URL？如果文章标题只是URL的一部分，你就必须对其进行URL编码，这可能是一个糟糕的例子。但问题是，可能是URL执行代码，或者将用户重定向到另一个页面。URL编码有什么困难？甚至PHP和JavaScript都内置了这些功能。我的问题更像是可以进行什么类型的XSS攻击。所有类型，如HTML注入和任意JavaScript注入。不过，我不明白问题的重点，因为任何类型的XSS对您的应用程序都是致命的。我知道，您知道什么类型的XSS？我只能想出一些代码并重定向到另一个网站。看看这个链接，它涵盖了所有常见的XSS类型，以及如何防范它们。我知道，你知道什么类型的XSS？我只能想出执行代码并重定向到另一个网站。看看这个链接，它涵盖了所有常见的XSS类型以及如何防范它们。