首页 > 代码库 > 为什么在留言处插入<script>alert(1)</script>不弹框
为什么在留言处插入<script>alert(1)</script>不弹框
对于新手来说,往往会在留言地方插入<script>alert(1)</script>来检测是否有存储xss,事实是基本上不会弹框的,为啥?
通过查看源码,可知道<>标签被实体编码了。
是前端和后端设置了过滤?非也!。 因为有些标签自身具备htmlencode功能,标签有:
<textarea>
<title>
<iframe>
<noscript>
<noframes>
如果绕过?那就闭合前面的标签就是了 ,比如</textarea><script>alert(1)</script>
ps: <textarea>在文本留言处是最常用的,特征也很明显,比一般的input输入框要大,而且右下角可拖动设置框大小。
为什么在留言处插入<script>alert(1)</script>不弹框
声明:以上内容来自用户投稿及互联网公开渠道收集整理发布,本网站不拥有所有权,未作人工编辑处理,也不承担相关法律责任,若内容有误或涉及侵权可进行投诉: 投诉/举报 工作人员会在5个工作日内联系你,一经查实,本站将立刻删除涉嫌侵权内容。