XSS繞過單引號限制

某視頻網站，我在隨處逛逛後發現了一個通過發送get請求來進行iframe連接的網頁 有iframe。第一個想到的就是通過js僞代碼來製造xss 所以我就簡單寫了一個alert 可以成功執行。沒有過濾javascript:。那麼我們嘗試獲取cookie。 也可以。並沒有做過濾。那我們稍微修改一下。讓cookie發到我的服務器不就可以盜取用戶憑據了嗎。 簡單的寫了個發送cookie的js代碼 接收端代

>>阅读原文<<