XSS - 哪些浏览器会自动转义地址栏中的网址？

Question

我最近在我的asp.net网站上进行了一些xss/javascript-injection/penetration-testing,发现现代网络浏览器(即最新的FF和Chrome)正在逃避输入地址栏的网址.

所以:

http://example.com/search/?q= "> <script> alert('hi'); </ script>

被发送到我的服务器:

http://example.com/search/?q=%22%3e%3cscript%3ealert(%27hi%27)%3b%3c%2fscript%3e

是否存在执行此操作的所有(主要)浏览器和不执行此操作的浏览器的列表？移动浏览器会这样做吗？

Answer 1

我认为所有浏览器都会转义 URL，除了那些有 bug 且不遵循 RFC ( RFC3986 ) 的浏览器。