クロスサイトスクリプティング（XSS）：アンパサンドをエスケープする必要がありますか？

Question

XSSのHTMLコンテキストでエスケープしたいのですが、これまでのところ、<、>、 "characters"を扱います。 アンパサンドもエスケープすることをお勧めしますが、なぜですか？ 私が<をエスケープすると、>と "、誰かがアンパサンドがHTMLコンテキストでXSS攻撃を許可する方法を示すことができますか？

乾杯！あなたはURL内のparamsを連結する&を使用

Answer 1

本当に見てくださいOWASP XSS予防チートシートで。

&は、他の防御を回避するために使用できるため、逃げる必要があります。 <、「、開発者は「エスケープのonclickイベントハンドラ内でXSSを防御するために

<button onclick="confirm('Do you really want to delete <%= data_from_user; %> ?'">Delete</button> 

と> data_from_userで、すべてがOKであると考えて問題があれば合格アタッカータイプ'次のとおりです。このコードを考えてみましょう。エスケープ、しかし、攻撃者はJavaScriptを実行できるようになってしまう

ここで例：。http://erlend.oftedal.no/blog/?blogid=124

最新の質問

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 関連する問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.