security - 基于 unicode 的 XSS 是一个问题吗？

Question

也许这对 security.stack 更好，我不确定，但问题是:

我最近看到一个博客，声称 ＜ｓｃｒｉｐｔ＞ａｌｅｒｔ（１）＜／ｓｃｒｉｐｔ＞ 将被解析为实际的 <script> 。但是，在我最近对 ​​Chrome 进行的测试中，情况并非如此。有没有人听说过浏览器将其解析为真正的标记？如果是这样，那么我不知道如何减轻它，因为大概还有其他人而不仅仅是 '＜' 需要担心，而且我知道我不准备遍历所有 unicode 来枚举它们。

Answer 1

这将直接违反 HTML 规范。对他们来说，标记重要的字符是Ascii字符，而像U+FF1C FULLWIDTH LESS-THAN SIGN“＜”这样的字符只是数据字符，没有特殊意义。浏览器需要额外的代码来将全角字符映射到 Ascii(作为临时映射或例如通过规范化到 NFKD 或 NFCKC)，但没有理由假设他们会做这样的事情，就像有理由认为他们可以开始将“[”映射到“<”。

因此，一个声称否则的博客只是描述了某人发明但没有实际依据的可能性。您通常可以从给出的引用资料和演示中看到这一点。 (也就是说，由于没有它们。)

看起来彼此相似的 Unicode 字符肯定存在安全问题，但这是人类错误地将一个字符视为另一个字符的问题，即使它们在内部完全不同，例如“＜”代表“<”(因此例如看到HTML 源代码中的字符串作为 script 元素，即使它不是)或“а”代表“a”(西里尔字母代表具有相同外观的拉丁字母)。也就是说，即使程序将字符视为不同，人们也可能将它们视为相同的字符。