问"<“和">”被过滤了，有没有办法绕过它？
EN

Security用户

提问于 2014-09-01 07:39:03

回答 1查看 2.9K关注 0票数 1

当我为一个网站进行笔试时，我发现字符；<和>被过滤了(如：<和>)。

有什么方法可以绕过<和>吗？

发布于 2014-09-01 12:07:07

<和>是在HTML上下文中显示字符<和>的正确方法。

(有些地方仅仅转义<>&"是不够的，例如，未引用的属性值，或者JavaScript嵌套在HTML中。你有吗？)

当您知道/怀疑存在漏洞时，通常会使用“旁路”一词，但是其他的东西正在妨碍您利用它。例如，当应用程序不能正确地将<转义到<，但是有一个蹩脚的输入过滤器，而不是停止输入<script时；根据代码的结构，有多种可能的方法来处理这种度量。

但从你所说的来看，根本没有证据表明存在任何漏洞。从用户输入中将<显示为<完全符合您对编写正确的HTML生成应用程序的期望。

票数 3

页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://security.stackexchange.com/questions/66508

复制

相似问题

问"<“和">”被过滤了，有没有办法绕过它？EN