码迷,mamicode.com
首页 > Web开发 > 详细

ajaxfileupload造成的xss漏洞

时间:2016-06-27 17:20:24      阅读:255      评论:0      收藏:0      [点我收藏+]

标签:

介绍下背景:

用的百度编辑器,准备将<script></script>传给后台,但因为同时有文件需要传,所以用的ajaxfileupload.

经过ajaxfileupload时,$(‘<input type="hidden" name="‘ + i + ‘" value="‘ + data[i] + ‘"/>‘).appendTo(form); 

这一步会将原本编码的数据去掉编码,于是传给后台的变成了<script></script>

经测试,只有 value="‘ + data[i]这种方式会去掉编码,而$(input)[0].value=data[i]则不会。

所以应该把$(‘<input type="hidden" name="‘ + i + ‘" value="‘ + data[i] + ‘"/>‘)改成$(‘<input type="hidden" name="‘ + i + ‘"/>‘).val(data[i])

ajaxfileupload造成的xss漏洞

标签:

原文地址:http://www.cnblogs.com/qmgcs/p/5620375.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!