質問: `<`と`>`記号をスキップするだけのアプリケーションをテストしています。検証されるユーザー入力は、常に``,``,``などのhtmlタグの間に挿入され、属性としてページに渡されることはありません。それは十分な保護か、この種のフィルターをバイパスする方法がありますか? 例: ``` UserInput ``` よろしく。
回答: 。これは、ユーザ入力のフィルタリングやエスケープが十分でないという別のケースです。すべてのユーザー入力は悪とみなす必要があります。例えば それはあなたの例の場合とアンカータグのURLを供給ユーザーであれば、このsXSSが上に動作し、すべてのマウスにロードすることは完全に可能である: また ``` URL: http://www.site.com" onmouseover="javascript:alert(1)" ``` 、あなた`onmousover to onload`が変更され、すべてのページの読み込み時にJavaScriptが実行されるようになりました。この種のsXSS攻撃を防ぐもう一つの方法として、HTMLタグ内からDOMイベントを無効にする方法があります。