XSS攻击时是怎么绕过htmlspecialchars函数的_CSS学习

资料来源：网络整理时间：2023/3/4 1:53:19 共计：3574 浏览

XSS攻击时是怎么绕过htmlspecialchars函数的？

很遗憾，只能在特定场景下才能绕过htmlspecialchars函数。

htmlspecialchars() 函数把预定义的字符转换为 HTML 实体，从而使XSS攻击失效。但是这个函数默认配置不会将单引号( ' )过滤，只有设置了：quotestyle 选项为ENT_QUOTES的时候才会过滤掉单引号，但仍然可以通过单引号闭合某一个事件然后插入恶意的XSS代码。

如下图（图来源自网络，侵删）

版权说明：
本网站凡注明“广州京杭原创”的皆为本站原创文章，如需转载请注明出处！
本网转载皆注明出处，遵循行业规范，如发现作品内容版权或其它问题的，请与我们联系处理！
欢迎扫描右侧微信二维码与我们联系。