javascript - 禁用 urlbar 过滤器 - Firefox 28

Question

我想在 Firefox 版本上演示基于 DOM“本地”的跨站点脚本。 28.

我在index.php上有这个脚本

<SCRIPT>
var pos=document.URL.indexOf("jmeno=")+6;
document.write(document.URL.substring(pos,document.URL.length));
</SCRIPT>

我想通过打开 URL 来运行 XSS

www.mydomain.com/index.php?jmeno=<script>alert(document.cookie)</script>

在 IE11 中，我只需在安全设置中禁用 XSS 过滤器，脚本就可以工作。

Altrought在Firefox中可以通过禁用此过滤器来解决:browser.urlbar.filter.javascript在about:config 。此解决方案没有效果。脚本总是被转义。

有什么解决方案可以让这个脚本在 Firefox 中工作吗？

Answer 1

browser.urlbar.filter.javascript不会尝试从输入的 URL 中过滤数据，它不是 IE 的误导性反 XSS 过滤器的类似物。这只是关于显示 javascript:历史记录查找中的 URL，与此无关。

您的示例 URL 在任何浏览器中都不适用于我，因为字符 <和>根本无法包含在 URL 中。浏览器将它们更正为 URL 编码版本 %3C和%3E当您输入它们时自动。因此，当您访问location.href时你会得到一个带有%编码尖括号的URL。使用简单的字符串切片处理它会将编码版本保留在那里，因此标签无法解析。

调用decodeURIComponent()提取的子字符串使该示例容易受到攻击(!)。 (尽管通常可靠地提取查询参数有点复杂。)