XSSing Google Code-in thanks to improperly escaped JSON data
随机文章Google Code-in 在线编程竞赛网站对 JSON 数据转义不正确而导致的 XSS 漏洞
XSS 这货,我觉得真要很熟悉 JavaScript 才可以的,不然一般人是想不到 constructor.constructor('alert("xss")')()
这句话为什么可以执行的
其实 JavaScript 这样的动态语言,执行代码的方式不只是常见的 window.eval()
执行字符串也可以使用 new Function('alert(1)')
来执行的,更进一步,可以使用 constructor.constructor('alert("xss")')()
也就不怎么奇怪了
类似的 Python,从一句 import
可以搞出无数事情啊!