不要小看注释掉的JS 引起的安全问题


Posted in Javascript onDecember 27, 2008

一个是header插入问题。
另一个是\r\n问题。
我们来看这样一段代码:
1. test
2. <script>
3. //alert('<%=request.getParameter("username")%>');
4. </script>
大家都能看到,这好像有个漏洞,但是已经被补上了,注释掉了。
那既然注释掉了,就不该有问题了么?
不是的。
再看这个URL
http://localhost/index.jsp?username=kxlzx%0d%0a%0d%0aalert('kxlzx
很无奈吧?
生成了如下代码:
test
<script>
//alert('kxlzx
alert('kxlzx ');
</script>
注释掉的JS,也执行了。
所以,不要把没用的代码,注释掉的JS等,扔到html里。
代码审核是个细活,任何疏漏之处都值得注意。

Javascript 相关文章推荐
JavaScript中Object和Function的关系小结
Sep 26 Javascript
ExtJS 入门
Oct 29 Javascript
浅谈Javascript鼠标和滚轮事件
Jun 27 Javascript
解决js正则匹配换行问题实现代码
Dec 10 Javascript
js获得指定控件输入光标的坐标兼容IE,Chrome,火狐等多种主流浏览器
May 21 Javascript
解析微信JS-SDK配置授权,实现分享接口
Dec 09 Javascript
jQuery实现动态添加tr到table的方法
Dec 26 Javascript
JS实现给对象动态添加属性的方法
Jan 05 Javascript
js css3实现图片拖拽效果
Mar 04 Javascript
JavaWeb表单及时验证功能在输入后立即验证(含用户类型,性别,爱好...的验证)
Jun 09 Javascript
jQuery实现页码跳转式动态数据分页
Dec 31 jQuery
Flutter实现仿微信底部菜单栏功能
Sep 18 Javascript
JavaScript 检测浏览器和操作系统的脚本
Dec 26 #Javascript
javascript 对表格的行和列都能加亮显示
Dec 26 #Javascript
JavaScript 仿关机效果的图片层
Dec 26 #Javascript
jquery 插件 任意位置浮动固定层
Dec 25 #Javascript
jquery 插件 web2.0分格的分页脚本,可用于ajax无刷新分页
Dec 25 #Javascript
jquery 图片预加载 自动等比例缩放插件
Dec 25 #Javascript
jquery 插件之仿“卓越亚马逊”首页弹出菜单效果
Dec 25 #Javascript
You might like
咖啡与水的关系
2021/03/03 冲泡冲煮
使用PHP维护文件系统
2006/10/09 PHP
PHP新手上路(六)
2006/10/09 PHP
php curl选项列表(超详细)
2013/07/01 PHP
使用php判断服务器是否支持Gzip压缩功能
2013/09/24 PHP
php使用 readfile() 函数设置文件大小大小的方法
2017/08/11 PHP
运用Windows XP附带的Msicuu.exe、Msizap.exe来彻底卸载顽固程序
2007/04/21 Javascript
javascript获得CheckBoxList选中的数量
2009/10/27 Javascript
javascript 定义新对象方法
2010/02/20 Javascript
javascript 兼容各个浏览器的事件
2015/02/04 Javascript
JavaScript搜索字符串并将搜索结果返回到字符串的方法
2015/04/06 Javascript
jquery不常用方法汇总
2015/07/26 Javascript
Angular.js与Bootstrap相结合实现表格分页代码
2016/04/12 Javascript
使用jQuery制作遮罩层弹出效果的极简实例分享
2016/05/12 Javascript
jquery实现简单的瀑布流布局
2016/12/11 Javascript
jQuery手指滑动轮播效果
2016/12/22 Javascript
vue双向数据绑定原理探究(附demo)
2017/01/17 Javascript
jquery中绑定事件的异同
2017/02/28 Javascript
JavaScript原生数组Array常用方法
2017/04/06 Javascript
浅析Angular19 自定义表单控件
2018/01/31 Javascript
[02:45]2016年中国刀塔全程回顾,完美“圣”典即将上演
2016/12/15 DOTA
[48:27]EG vs Liquid 2018国际邀请赛淘汰赛BO3 第二场 8.25
2018/08/29 DOTA
python控制台英汉汉英电子词典
2020/04/23 Python
总结Python编程中函数的使用要点
2016/03/20 Python
python实现批量修改文件名代码
2017/09/10 Python
python+jinja2实现接口数据批量生成工具
2019/08/28 Python
python文件和文件夹复制函数
2020/02/07 Python
Django用户身份验证完成示例代码
2020/04/03 Python
CSS3 Calc实现滚动条出现页面不跳动问题
2017/09/14 HTML / CSS
HTML5微信播放全屏问题的解决方法
2017/03/09 HTML / CSS
教师党员群众路线教育实践活动心得体会
2014/11/04 职场文书
科技活动总结范文
2015/05/11 职场文书
2015重阳节座谈会主持词
2015/07/30 职场文书
清明节随笔
2015/08/15 职场文书
学校教师培训工作总结
2015/10/14 职场文书
2016暑期社会实践新闻稿
2015/11/25 职场文书