Web 双重编码

您好，我在一个网站上工作，我在一个名字字段中发现了一些xss过滤器，我很高兴能绕过它，但现在的问题是，当我使用诸如：-aaa%22%3E%3Cimg%20src%3D%22x%3Ax%22%20onerror%3Dalert%281%29%3E这样的单一编码时，我会忽略它

然后源代码中的响应是aaa>img src=“x:x”onerror=alert（1）>

注意：“-”，>这两个由htmlencoder转换（如<，>，它们未显示在堆栈溢出页面中）并由网站转义

但是当我使用双重编码时，比如：-aaa%2522%253E%253Cimg%2520src%253D%2522x%253Ax%2522%2520onerror%253Dalert%25281%2529%253E

它只是将其转换为单一编码，如：-aaa%22%3E%3cm%20src%3D%22x%3Ax%22%20onerror%3Dalert%281%29%3E

有时候我觉得它不脆弱所以我需要你的观点

---

但是如果它易受攻击，那么我应该尝试什么负载？

这取决于您尝试注入XSS的html标记是什么。但是，如果“在运行该文件的目录中是否有名为

urllib2.py

的文件？请不要创建与python标准库模块同名的文件。这将导致类似的问题。@glibdud您能告诉我这个新编辑的问题的解决方案吗？@Utkarsh：如果您想问其他问题，请使用”Ask Question“按钮开始一个新问题。不要将此问题编辑为其他问题。这取决于您尝试在其中插入XSS的html标记是什么。但是如果“您运行XSS的目录中是否有名为

urllib2.py

的文件？请不要创建与python标准库模块同名的文件。”。这将导致类似的问题。@glibdud您能告诉我这个新编辑的问题的解决方案吗？@Utkarsh:如果您想问其他问题，请使用“提问”按钮开始新问题。不要将此项编辑为其他内容。