[安全测试]通过前端嵌入HTML标签触发页面其他事件

**[安全测试]**通过前端嵌入HTML标签触发页面其他事件

1.因为富文本的要求，所以很多前端展示，是允许携带标签的，而我们能通过输入的标签，来达到触发页面上，其他标签的事件，类如点击事件。

假设，如果页面上有一个点赞帖子功能，而我们通过我们自己发表的文章里，携带了HTML元素，而元素，有一个事件，移动到该元素上，就触发，点击原本页面上点赞帖子功能，也就是说，我们使浏览该页面的用户，做了一个本来没有做的事情。

也属于XSS注入的一种，但是不同的是，以前的XSS注入，用的都是script语句，现在浏览器已经不会去执行了。

但是单纯元素的事件，现在是会正常执行的。

例子：

类如我们现在看到页面上有一个点赞的功能，通过查看html元素，发现该点赞功能的元素id=ic-like,但是查看这个元素的监听事件以后，发现并没有点击事件，所以我们再次往上查看，发现点击事件在父级元素，div class="_2Bo4Th"

于是乎，我们接下来的行为，就是要通过我们输入的内容，来达到触发class为"_2B04Th"的元素点击事件。

注：现在我所操作的，全都是直接修改页面元素，简书本身是做了限制的，会过滤掉用户自己输入的事件。

我们直接通过修改元素，实现嵌入了
button标签元素，并赋予一个点击事件，获取对应我们想触发的元素，最后触发他的点击事件


点击我们自己输入的内容后，发现，确实触发了点赞。

但是，点击按钮触发，并达不到我们想要的不自觉让用户操作的效果，所以我们将触发事件的条件，更改为，只要移动到元素上，就触发
onmouseover：用户移动到元素上触发

并且可以更改button标签为其他标签，这样就不存在按钮的形态。

当然，还可以用其他触发条件。

会不定时分享一些不常见的问题。
作者：IC