JQuery在XSS攻击中的表现

首先给大家分享一个巨牛巨牛的人工智能教程，是我无意中发现的。教程不仅零基础，通俗易懂，而且非常风趣幽默，还时不时有内涵段子，像看小说一样，哈哈～我正在学习中，觉得太牛了，所以分享给大家！点这里可以跳转到教程

                    

在前端的XSS攻击中，直接运用innerHTML属性赋值，脚本绝不会被解析，代码如下：

var html = '<script>alert(100)</script>';//  里面的脚本绝不会执行，不会弹出100信息document.body.innerHTML = html;
  
  
1
2
3

1. $.html被轻松注入

如果改用JQuery来实现，则出现了令人惊讶的结果，JS代码被轻松注入，代码如下：

var html = '<script>alert(100)</script>';//  脚本将被执行，弹出100的对话框$(document.body).append(html);
  
  
1
2
3

2. $.append无法注入

按照这样的结论，那是否所有利用JQuery进行DOM操作的API都存在XSS风险呢？试试append：

var html = '<script>alert(100)</script>';//  里面的脚本也不会执行，很诧异$(document.body).append(html);
  
  
1
2
3

同样的，insert、before、next等接口也是安全的DOM操作。

3. $.load亦被注入

最后再试试load方法：

//  script.html文件中的内容为<script>alert(100)</script>$(document.body).load('/dest/script/script.html')
  
  
1
2

结论

在jquery中，.html与 .html与.load都有被注入脚本的危险，采用这样的方法进行内容操作的第三方插件也会被注入，例如jqGrid的表格内容就存在这样的风险。

           

浏览人工智能教程