首页 > Web开发 > 详细

ajaxfileupload造成的xss漏洞

时间:2016-06-27 17:19:00      阅读:644      评论:0      收藏:0      [点我收藏+]

介绍下背景:

用的百度编辑器,准备将<script></script>传给后台,但因为同时有文件需要传,所以用的ajaxfileupload.

经过ajaxfileupload时,$(‘<input type="hidden" name="‘ + i + ‘" value="‘ + data[i] + ‘"/>‘).appendTo(form); 

这一步会将原本编码的数据去掉编码,于是传给后台的变成了<script></script>

经测试,只有 value="‘ + data[i]这种方式会去掉编码,而$(input)[0].value=data[i]则不会。

所以应该把$(‘<input type="hidden" name="‘ + i + ‘" value="‘ + data[i] + ‘"/>‘)改成$(‘<input type="hidden" name="‘ + i + ‘"/>‘).val(data[i])

ajaxfileupload造成的xss漏洞

原文:http://www.cnblogs.com/qmgcs/p/5620375.html

(0)
(0)
   
举报
评论 一句话评论(0
关于我们 - 联系我们 - 留言反馈 - 联系我们:wmxa8@hotmail.com
© 2014 bubuko.com 版权所有
打开技术之扣,分享程序人生!