javascript - window.location = window.location 是否易受 XSS 影响

Question

此问题与代码 window.location = window.location 有关作为一种刷新页面的方法，不关心重定向/其他变量。

我的理解如下:
window.location = window.location导致页面刷新，因为浏览器将导航到用户已经在的同一位置。

通过 DOM 操作对该变量的任何更改都将导致页面重新加载/加载攻击者页面，因此这些行将无法使用更改的值执行，因此不适合跨站点脚本攻击。

这个对吗？

编辑:我真正要问的是是否有办法改变window.location不会导致页面重新加载，因此当 window.location = window.location调用时，浏览器将被发送到另一个位置。

Answer 1

因此，如果我正确理解您的要求，那么这些答案都不是正确的。可以利用 window.location执行 xss。您遇到的障碍似乎是在 window.location 之后执行页面的行将刷新并跳过 yourpayload 的执行。我假设您能够将内容引入到 window.location 右侧的字符串中，并且输入未正确编码为 JavaScript 字符串。
例如，如果 http://vulnerablewebsite/page?param=derp';alert('xss');var+a+%3d+'结果代码如下:

<script>
  window.location='derp';alert('xss');var a = '';
</script>

您可以利用字符串连接将分配推迟到 window.location 直到您的有效负载执行之后。所以像: http://vulnerablewebsite/page?param=derp'+%2B+alert('xss')+%2b+'将导致执行您的有效负载的以下代码。

<script>
  window.location='derp' + alert('xss') + '';
</script>

不过，这确实应该在安全 StackExchange 中。