xss - 谁能告诉我为什么/如何这个 XSS 向量在浏览器中工作？

Question

我的网站遭受了多次 XSS 攻击。以下 HTML 片段是攻击者注入(inject)的 XSS 向量:

<a href="mailto:">
<a href=\"http://www.google.com onmouseover=alert(/hacked/); \" target=\"_blank\">
<img src="http://www.google.com onmouseover=alert(/hacked/);" alt="" /> </a></a>

看起来脚本不应该执行，但是使用 IE9 的开发工具，我能够看到浏览器将 HTML 转换为以下内容:

<a href="mailto:"/>
<a onmouseover="alert(/hacked/);" href="\"http://www.google.com" target="\"_blank\"" \?="">
</a/>

经过一些测试，事实证明\"使“onmouseover”属性“活”，但我不知道为什么。有谁知道为什么这个向量会成功？

Answer 1

所以总结一下评论:
在引号前面加上一个字符，将引号变成属性值的一部分，而不是标记值的开始和结束。
这同样有效:

href=a"http://www.google.com onmouseover=alert(/hacked/); \"

HTML 允许无引号的属性，因此它变成了具有给定值的两个属性。