javascript - 浏览器 URL 编码的 XSS 攻击是否容易受到攻击？

Question

我正在使用 Burp Tool 和 Firefox 。

这就是攻击。

http://localhost/xssWebsite/?aParameter=<script>alert('XSS');</script>

我通过两种方式执行此攻击。

• 使用 Burp Suite 中继器工具。

  GET/xssWebsite/?aParameter= <script>alert('XSS');</script>

  包含其他 http header 。

  获取的响应包括<script>alert('XSS');</script>

• 当我尝试使用 Firefox 完成相同的任务时。

  Firefox 在发送请求之前对 URL 进行编码，因此响应还包含未执行的编码脚本。

我们可以使用burp等工具来利用这种类型的xss攻击吗？

Answer 1

您的 Firefox 版本正在对请求进行编码，但旧版本或其他浏览器又如何呢？最重要的是，如果您发现了 XSS，那么如何利用它并不重要，只需修复它即可。