代码之家 › 专栏 › 技术社区 › Philip Pittle

XSS-哪些浏览器自动转义地址栏中的URL?

penetration-testing xss browser asp.net javascript

Philip Pittle · 技术社区 · 10 年前

我一直在表演 xss / javascript-injection / penetration-testing 在我的 asp.net 网站最近,并注意到 web-browser (即最新的FF和Chrome)正在逃避输入地址栏的URL。

因此:

http://example.com/search/?q= “><script>警报('hi');<!/script>

发送到我的服务器:

http://example.com/search/?q=%22%3e%3cscript%3ealert(%27hi%27)%3b%3c%2fscript%3e

是否有一个所有(主要)浏览器的列表,可以做到这一点,也可以不做?移动浏览器会这样做吗?

2 回复 | 直到 10 年前

Community CDub 3 年前

我认为所有的浏览器都逃避URL,除了那些有bug并且不遵循RFC的浏览器( RFC3986 ).

Margus 10 年前

如果我没弄错,你可以用 http://browsershots.org/ 或者类似的东西来测试它。

推荐文章

code-geek · Jquery根据单选按钮选择隐藏或显示文本字段

6 月前

Niobos · 如何/是否有方法使通用算法函数同时与同步和异步函数一起工作?

6 月前

Alex · 在轻量级中同时解构和不解构变量

6 月前

Ângelo Rigo · ReactJS映射:如何迭代[关闭]

6 月前

bairog · 从按属性筛选的对象数组字典中创建值数组

6 月前

KaiMcKiernan · 基于Math.random()的函数在另一个函数内不起作用[关闭]

6 月前

David Jeong · 浏览器不会为浏览器自动添加的某些标头发送CORS预检请求吗?

6 月前

user29519291 · 为不同的变量创建一个带有可重用Click函数的简单菜单

6 月前

user3472810 · Angular@Output/EventEmitter返回undefined

6 月前

lokiuucx · JS对象属性返回未定义,尽管对象属性应该有值

6 月前