XSSing Google Code-in thanks to improperly escaped JSON data

原文链接：blog.thomasorlita.cz

Google Code-in 在线编程竞赛网站对 JSON 数据转义不正确而导致的 XSS 漏洞

XSS 这货，我觉得真要很熟悉 JavaScript 才可以的，不然一般人是想不到 constructor.constructor('alert("xss")')() 这句话为什么可以执行的

其实 JavaScript 这样的动态语言，执行代码的方式不只是常见的 window.eval() 执行字符串也可以使用 new Function('alert(1)') 来执行的，更进一步，可以使用 constructor.constructor('alert("xss")')() 也就不怎么奇怪了

类似的 Python，从一句 import 可以搞出无数事情啊！