javascript - 跨站点脚本 (XSS) 可能吗？

Question

我在我的应用程序中发现了以下代码:

eval( 'window.opener.' + fct );

变量 fct 来自 GET 参数(因此它可以由用户更改)。

是否可以传递一些邪恶的值来执行 JavaScript？我不确定，因为如果您更改 URL 并将链接发送给用户，然后他点击它，“window.opener”将为空，因此会抛出错误:

eval( 'window.opener.x; alert(1);' ); // Uncaught TypeError: Cannot read property 'x' of null

是否存在任何可能导致安全问题的攻击媒介？我知道，你永远不应该使用 eval() - 但我也会尝试找到概念证明。

谢谢!

Answer 1

如果 fct 是 x = alert('yes') 那么它会导致:

window.opener.x = alert('yes')

表达式的右侧将首先被计算，允许代码执行。

如果你不想触发任何错误，你可以这样做:

window.opener.x = (window.opener={pwnd:confirm('game over')})