遇到一个很奇葩的XSS，我们先来加一个双引号，看看输出：
双引号被转义了，我们对双引号进行URL双重编码，再看一下输出：
依然被转义了，我们再加一层URL编码，即三重url编码，再看一下输出：
URL编码被还原为双引号，并带入到html中输入。构造Payload实现弹窗
XSS三重URL编码绕过实例
2018-04-11
2048
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《
阿里云开发者社区用户服务协议》和
《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写
侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：
遇到一个很奇葩的XSS，我们先来加一个双引号，看看输出：
双引号被转义了，我们对双引号进行URL双重编码，再看一下输出：
依然被转义了，我们再加一层URL编码，即三重url编码，再看一下输出：
URL编码被还原为双引号，并带入到html中输入。
目录
相关文章
|
2月前
|
Java
|
存储
安全
JavaScript
|
5月前
|
JavaScript
前端开发
数据格式
URL编码【详解】——Javascript对URL进行编码解码的三种方式的区别和使用场景，axios请求拦截器中对get请求的参数全部进行URL编码
URL编码【详解】——Javascript对URL进行编码解码的三种方式的区别和使用场景，axios请求拦截器中对get请求的参数全部进行URL编码
328
0
0
|
6月前
|
安全
JavaScript
PHP
|
7月前
|
前端开发
JavaScript
安全
|
7月前
|
Python
|
7月前
|
JavaScript
|
7月前
|
Java
|
7月前
|
数据安全/隐私保护
|
JavaScript
前端开发
热门文章
最新文章
1
淘口令真实URL API接口的应用与收益
2
在springboot中缩短一个url链接
3
第八问：在浏览器中输入URL后发生了什么？
4
【ThinkPHP框架教程·Part-04】URL访问模式
5
通过Web安全工具Burp suite找出网站中的XSS漏洞实战(二)
6
Using Content Security Policy to Prevent Cross-Site Scripting (XSS)
7
OWASP出品：Xenotix XSS漏洞测试框架
8
Magicodes.WeiChat——使用AntiXssAttribute阻止XSS（跨站脚本攻击）攻击
9
XSS 检测神器：XSStrike 保姆级教程
10
AntiSamy：防 XSS 攻击的一种解决方案使用教程
1
【ThinkPHP框架教程·Part-04】URL访问模式
12
2
在springboot中缩短一个url链接
31
3
第八问：在浏览器中输入URL后发生了什么？
20
4
淘口令真实URL API接口的应用与收益
38
5
Open NotebookLM，一键PDF/URL转播客！
68
6
浏览器输入url之后最后网页渲染出来经过了什么
34
7
计算机网络常见面试题（二）：浏览器中输入URL返回页面过程、HTTP协议特点，GET、POST的区别，Cookie与Session
148
8
浏览器中输入URL返回页面过程（超级详细）、DNS域名解析服务，TCP三次握手、四次挥手
94
9
JAVA获取重定向地址URL的两种方法
104
10
vue封装一个查询URL参数方法
20