URL上的HTML <script>片段可以用于纯客户端应用程序中的XSS吗？

迈克·张伯伦：

背景

说我有以下网页：

<html>
  <script>
    document.write('querystring=' + location.search.substr(1));
  </script>
<html>

我在这样的URL上打开它：

http://completely-secure-site/?<script>alert('fsecurity')</script>

在所有尝试使用的浏览器（Chrome 57，Firefox 52和Safari 10）中，结果为：

querystring =％3Cscript％3Ealert（％27fsecurity％27）％3C / script％3E

因为尖括号<>是无效的URL字符，他们似乎得到自动被浏览器的方式编码，才可以拿到附近的JS运行时的任何地方。

我的假设

这使我相信，使用document.write来直接在客户端上直接呈现查询字符串始终是安全的，而不是可能的XSS向量。（我意识到，当然还有很多其他方法可以使应用程序容易受到攻击，但让我们坚持此处所述的确切情况。）

我的问题

我对这个假设是否正确？

所有合理的浏览器中的URL中不安全字符的入站编码是否已标准化/强制执行？（没有可能的XSS）
或者，这仅仅是我不应该在全球范围内依赖的某些（现代的）客户的详细信息/实现细节吗？（上述XSS在理论上是可能的）

_{与这个问题无关，但很有趣。如果我先解码URI，那么浏览器的行为就不同了：document.write(decodeURI(location.search.substr(1)));。Chrome和Safari中的XSS Auditor都会阻止页面，而Firefox会显示警报。}

德斯蒂尼文字：

如果我?<script>alert("d")</script>在Windows XP的IE6上使用查询字符串，则使注入的代码显示警报，这种情况也会在decodeURI或decodeURIComponent页面中发生，因此如果IE6仍然是一个合理的浏览器，我会说您的第二个假设是正确的：这是现代浏览器

我还看到Firefox 53在使用解码方法时显示注入的XSS警报，Opera 44和Chrome 57（均在Windows上）阻止了代码。

本文收集自互联网，转载请注明来源。

如有侵权，请联系 [email protected] 删除。

编辑于 2020-07-16

我来说两句

0 条评论

登录后参与评论

TOP 榜单

文章