xss - .setinterval 和 XSS

Question

在 OWASP XSS prevention cheat sheet它表示无法将不受信任的数据安全地放入 .setinterval JS 函数中。即使被转义/编码，XSS 仍然是可能的。

但如果我有这样的事情:

setInterval(function(){ alert('<%=UNTRUSTED_DATA%>'); }, 3000);

如果我 JS 编码“UNTRUSTED_DATA”，XSS 怎么可能？

Answer 1

有一个overload of setInterval 接受一串代码而不是一个函数，它基本上是 exec在一个区间。

我相信这就是 OWASP 备忘单所指的内容，您可以在该重载中放置不受信任的字符串。您正在使用函数重载，这不是 OWASP 调用的函数。