【发布时间】：2015-08-25 08:31:06
【问题描述】：
如果 XSS 过滤器转义此符号，我如何绕过它：&、<、>、\、'？
【问题讨论】：
-
数据插入的上下文是什么？
-
什么字符串？ JavaScript 字符串字面量？
-
我投票决定将此问题作为离题结束，因为它与代码无关 - 另一方面，我建议迁移到 Security.se。
【发布时间】：2015-08-25 08:31:06
【问题描述】：
这取决于注入的位置。 下面是一个没有禁止字符的 XSS 示例：
假设一个页面接收到一个图片文件名并显示它，并且不对引号字符进行编码：
https://contoso.com/displaypic?source=111.jpg
<img src="111.jpg"></img>
如果你访问这个 URL，你就有了自己的 XSS：
https://contoso.com/displaypic?source=a"+onerror="alert(111)
<img src="a" onerror="alert(111)"></img>
【讨论】：