我有一个文件a.html,其内容如下:

<script>
var x=document.URL.substring(document.URL.indexOf('#')+1);
document.write(x);
alert(document.body.innerHTML);
</script>
<body>

</body>

当我浏览至a.html#somevalueh;alert(1)</script>时,为什么体内只有"somevalueh;alert(1)"而不是</script>部分出现?

我正在使用chrome btw。它是防止XSS的功能吗?它通过剥离</script>或...起作用吗?

最佳答案

Chrome具有针对反射XSS攻击的默认保护。在Chrome浏览器中,有一个标记可用来启动浏览器。如果使用此标志启动浏览器,则可以执行以下操作:

--disable-web-security

09-10 14:04
查看更多