xss漏洞不能屏蔽双引号（XSS常见漏洞出现的地方）

XSS的一个问题

var page=$('#test a[href="1"]'); 里面的1是可以控制的变量

因为过滤了双引号,所以闭合前后已经无法实现。用''来保证里面是个字符串执行。

用++来连接字符串。

所以一种构造的 *** 是 ‘%2balert(document.cookie)%2b’

这里+要用url变成%2b,否则的话会被当做空字符"' alert('xss') '"

希望对你能有所帮助。

在input的标签里怎么绕过xss双引号的编码过滤

哥们，要是让你绕过去了，黑客也就绕过去了。不要想着从前台骗过过滤器，如果系统设置非常严格，所有从前台设置的输入信息都会被xss过滤器过滤，一般是把特殊字符删除或者转译(比如大于号小于号双引号斜杠等)，避免用户通过非法手段存储注入代码，但是一般的web系统，都不会在显示的时候重新转码，所以，如果你可以直接访问数据库，则可以讲特殊字符的代码直接写到数据库里，页面就会直接显示了。

XSS小问题

page= ;alert(document.cookie);

你没有闭合双引号，导致；alert(document.cookie); 成了变量的值了

右键网页源码中如下：var page=";alert(document.cookie);";

正确答案其实有很多种只要闭合两端的引号 中间的js代码可以有多种变化。

";\u0061lert(document.cookie);"

";alert(document.cookie);//

这是很基础的问题

慢慢学 多去wooyun知识库看看