JavaScript DOM XSS 注入(inject)验证

Question

将 HTML 嵌入 DOM 时，此正则表达式是否足以捕获所有跨站点脚本尝试。例如:例如使用 document.write()

(javascript:|<\s*script.*?\s*>)

本文档引用自 modsecurity.com http://www.modsecurity.org/documentation/Ajax_Fingerprinting_and_Filtering_with_ModSecurity_2.0.pdf

它会捕获 UTF-8 中的所有<\sscript.吗？\s*> 变体？

Answer 1

不幸的是没有。如果攻击者真的尝试的话，实际上有很多方法可以绕过该正则表达式。对于现代浏览器，该正则表达式应该做得很好，但它并不详尽。例如，类似这样的东西可以打开 javascript，而无需明确说明 script 或 javascript

<img src="blah.jpg" alt="" onmousedown="alert('a')" />

查看here (有点过时，但明白了要点)和 here更多示例