javascript代码中的过滤漏洞“＜/script＞”

最新推荐文章于 2023-12-09 17:19:03 发布

weixin_44223877

最新推荐文章于 2023-12-09 17:19:03 发布

阅读量508

点赞数

文章标签：前端 javascript

本文链接：https://blog.csdn.net/weixin_44223877/article/details/125738634

版权

问题：

之前在写《博客园自定义博客侧边栏公告的过滤漏洞》的时候遇到了一个javascript代码报错“语法错误”的问题，一直不得以解决，感谢Arliang发现了并为我进行了耐心的解释，现整理如下：

javascript代码中只要出现了“</script>”，无论是在引号中还是在注释中都会被认为是script标签的结束

解决：

“标签模板”的一个重要应用，就是过滤 HTML 字符串，防止用户输入恶意内容

let message =
  SaferHTML`<p>${sender} has sent you a message.</p>`;

function SaferHTML(templateData) {
  let s = templateData[0];
  for (let i = 1; i < arguments.length; i++) {
    let arg = String(arguments[i]);

    // Escape special characters in the substitution.
    s += arg.replace(/&/g, "&amp;")
            .replace(/</g, "&lt;")
            .replace(/>/g, "&gt;");

    // Don't escape special characters in the template.
    s += templateData[i];
  }
  return s;
}

上面代码中，sender变量往往是用户提供的，经过SaferHTML函数处理，里面的特殊字符都会被转义。

let sender = '<script>alert("abc")</script>'; // 恶意代码
let message = SaferHTML`<p>${sender} has sent you a message.</p>`;

message
// <p>&lt;script&gt;alert("abc")&lt;/script&gt; has sent you a message.</p>