html - "%u00AB"是什么类型的语法？

Question

在this文章，我被警告 XSS 攻击向量 "%u00ABscript%u00BB"。我想知道 "%u00AB" 是什么类型的语法。在我对 Chromium 的简短测试中，它实际上并没有被渲染到标签中，这让我相信该语法是由 SQL 引擎或服务器端编程语言使用的。我不关心存储/反射 XSS，只关心基于 DOM 的 XSS。不过我不认识它，所以它可能像 ruby​​ 或 python 之类的东西？

此外，有谁知道它在其他浏览器中是否存在问题？我只测试了 Chromium，但也许其他版本和浏览器的行为不同，因此容易受到攻击。

Answer 1

%uhhhh 语法是众所周知的百分号编码的一种非标准变体，它可以直接通过其代码点指定 Unicode 字符，而不是像某些语言那样通过其编码代码点支持 \uhhhh。此语法受 JavaScript 的 unescape 函数以及 Microsft 的 IIS 网络服务器支持。

但这可能不是原因，因为 %u00AB 将映射到 «。其原因是某种音译 like iconv supplies :

iconv('UTF-8', 'ASCII//TRANSLIT', '«') === '<<'
iconv('UTF-8', 'KOI8-R//TRANSLIT', '«') === '<<'

并根据Jeremiah Grossman’s blog post Results, Unicode Left/Right Pointing Double Angel Quotation Mark引用该漏洞，存在漏洞的应用数量汇总:

Arian promised to get back to 3APA3A after scanning several hundred production websites using WhiteHat Sentinel. A huge R&D benefit of the platform. Two years later there is data to share. We’ve been busy, but hey, better late the never right? :) As it turned out 3APA3A was correct! Arian discovered a small number of Web applications vulnerable to the encoding technique and they add up if the sample pool is large enough. Samples ranging from 300 to roughly 1000 websites.