javascript - XSS攻击: Is it possible to execute JS when input value is set?

Question

我目前针对 XSS 测试了我的应用程序，并想知道以下示例是否可以被利用。

这就是我所做的:我从服务器获得未转义的响应并将其直接设置为输入的值。

我知道我应该在服务器上逃脱，但很好奇这是否会被利用。

到目前为止，我已经产生了语法错误，但无法执行脚本...

document.getElementById('test').value = '"/><script>alert(1);</script>';

<input id="test" type="text"/>

您可以更改此示例，让 alert(1); 实际执行吗？

感谢您的帮助。我真的很好奇:-)

Answer 1

将任何内容分配给输入值都不会使其执行。只有对 onerror、onmouseover、onfocus 等事件处理程序进行赋值才能使其执行。

我猜语法错误是因为 </script>破坏了你的 script 标签，因此你留下了无效的 javascript。与我在这里描述的非常相似:http://erlend.oftedal.no/blog/?blogid=91