Javascript 浏览器URL编码的XSS攻击易受攻击吗？

我正在使用打嗝工具和Firefox

这就是攻击

http://localhost/xssWebsite/?aParameter=<script>alert('XSS');</script>

http://localhost/xssWebsite/?aParameter=alert（'XSS'）；

我以两种方式执行此攻击

• 使用Burp套件中继器工具
  获取/xssWebsite/？a参数=

  警报（'XSS'）
  
  还包括其他http头
  
  获取的响应包括
  警报（'XSS'）
  

• 当我试图用Firefox实现同样的目标时
  Firefox在发送请求之前对URL进行编码，因此，响应还包含未执行的编码脚本

---

我们可以使用burp之类的工具来利用这种xss攻击吗？

您的firefox版本正在对请求进行编码，但是旧版本或其他浏览器又如何呢？底线是，如果您发现了XSS，那么不管如何利用它，只需要对其进行修复。

较新的浏览器已经对URL进行了编码，即使您禁用了XSS过滤器，这些“s”仍会被编码

为了对您的发现进行POC，比如弹出一个警报框，您可以使用较旧的浏览器

---

您还可以使用IETester，并使用IE6选项卡进行模拟。请注意，警报框在IEtester中可能不起作用，您可以使用“确认”来代替。

使用Burp Suite之类的代理工具，并通过拦截请求来更改参数。

如果Burp发送请求，您将如何让javascript引擎解析响应体？因此此类攻击不会受到攻击。