【安全】P 4-12 Javascript伪协议触发XSS

0X01 javascript伪协议介绍

将javascript代码添加到客户端的方法是把它放置在伪协议说明符javascript:后的URL中。这个特殊的协议类型声明了URL的主体是任意的javascript代码，它由javascript的解释器运行。如果javascript:URL中的javascript代码含有多个语句，必须使用分号将这些语句分隔开。

javascript:var now = new Date(); "<h1>The time is:</h1>" + now;

javascript URL还可以含有只执行动作，但不返回值的javascript语句。

javascript:alert("hello world!")

0X02 XSS漏洞发现

设置特殊字符串提交，在响应中寻找。

0X03 a链接标签属性href介绍

< a > 标签定义超链接