不要小看注释掉的JS 引起的安全问题


Posted in Javascript onDecember 27, 2008

一个是header插入问题。
另一个是\r\n问题。
我们来看这样一段代码:
1. test
2. <script>
3. //alert('<%=request.getParameter("username")%>');
4. </script>
大家都能看到,这好像有个漏洞,但是已经被补上了,注释掉了。
那既然注释掉了,就不该有问题了么?
不是的。
再看这个URL
http://localhost/index.jsp?username=kxlzx%0d%0a%0d%0aalert('kxlzx
很无奈吧?
生成了如下代码:
test
<script>
//alert('kxlzx
alert('kxlzx ');
</script>
注释掉的JS,也执行了。
所以,不要把没用的代码,注释掉的JS等,扔到html里。
代码审核是个细活,任何疏漏之处都值得注意。

Javascript 相关文章推荐
JavaScript 创建对象和构造类实现代码
Jul 30 Javascript
jQuery编写widget的一些技巧分享
Oct 28 Javascript
jquery链式操作的正确使用方法
Jan 06 Javascript
JavaScript前端开发之实现二进制读写操作
Nov 04 Javascript
关于JS中的apply,call,bind的深入解析
Apr 05 Javascript
JavaScript编写页面半透明遮罩效果的简单示例
May 09 Javascript
Node.js中防止错误导致的进程阻塞的方法
Aug 11 Javascript
js定时器+简单的动画效果实例
Nov 10 Javascript
代码详解javascript模块加载器
Mar 04 Javascript
layui 关闭open弹出框 刷新table表格页面的方法
Sep 16 Javascript
详解vue 自定义组件使用v-model 及探究其中原理
Oct 11 Javascript
vue el-upload上传文件的示例代码
Dec 21 Vue.js
JavaScript 检测浏览器和操作系统的脚本
Dec 26 #Javascript
javascript 对表格的行和列都能加亮显示
Dec 26 #Javascript
JavaScript 仿关机效果的图片层
Dec 26 #Javascript
jquery 插件 任意位置浮动固定层
Dec 25 #Javascript
jquery 插件 web2.0分格的分页脚本,可用于ajax无刷新分页
Dec 25 #Javascript
jquery 图片预加载 自动等比例缩放插件
Dec 25 #Javascript
jquery 插件之仿“卓越亚马逊”首页弹出菜单效果
Dec 25 #Javascript
You might like
php intval的测试代码发现问题
2008/07/27 PHP
php的chr和ord函数实现字符加减乘除运算实现代码
2011/12/05 PHP
PHP使用Alexa API获取网站的Alexa排名例子
2014/06/12 PHP
PHP远程采集图片详细教程
2014/07/01 PHP
字符串长度函数strlen和mb_strlen的区别示例介绍
2014/09/09 PHP
PHP实现图片上传并压缩
2015/12/22 PHP
javascript instanceof 内部机制探析
2010/10/15 Javascript
javascript 日期时间 转换的方法
2013/02/21 Javascript
Jquery.addClass始终无效原因分析
2013/09/08 Javascript
纯js实现重发验证码按钮倒数功能
2015/04/21 Javascript
jQuery复制表单元素附源码分享效果演示
2015/09/30 Javascript
详解JavaScript操作HTML DOM的基本方式
2015/10/21 Javascript
JavaScript中对JSON对象的基本操作示例
2016/05/21 Javascript
Bootstrap布局方式详解
2016/05/27 Javascript
Vue配合iView实现省市二级联动的示例代码
2018/07/27 Javascript
Vuex 在Vue 组件中获得Vuex 状态state的方法
2018/08/27 Javascript
[05:07]DOTA2英雄梦之声_第14期_暗影恶魔
2014/06/20 DOTA
python实现的一只从百度开始不断搜索的小爬虫
2013/08/13 Python
pyv8学习python和javascript变量进行交互
2013/12/04 Python
PyQt5实现五子棋游戏(人机对弈)
2020/03/24 Python
bluepy 一款python封装的BLE利器简单介绍
2019/06/25 Python
python频繁写入文件时提速的方法
2019/06/26 Python
关于PyTorch源码解读之torchvision.models
2019/08/17 Python
python 消费 kafka 数据教程
2019/12/21 Python
乌克兰机票、铁路和巴士票、酒店搜索、保险:Tickets.ua
2020/01/11 全球购物
新员工试用期自我鉴定
2014/04/17 职场文书
HR求职自荐信范文
2014/06/21 职场文书
女生节标语
2014/06/26 职场文书
反四风对照检查材料思想汇报
2014/09/16 职场文书
介绍信的写法
2015/01/31 职场文书
2015年度优秀员工推荐信
2015/03/23 职场文书
《绝招》教学反思
2016/02/20 职场文书
只用20行Python代码实现屏幕录制功能
2021/06/02 Python
使用pipenv管理python虚拟环境的全过程
2021/09/25 Python
SpringDataJPA实体类关系映射配置方式
2021/12/06 Java/Android
python数字类型和占位符详情
2022/03/13 Python