和JavaScript包括

Question

OWASP的XSS Filter Evasion Cheat Sheet提到"&JavaScript includes":

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#.26_JavaScript_includes

它提供的示例如下:

<BR SIZE="&{alert('XSS')}">

我在jsfiddle上尝试使用Chrome和Firefox,但我没有获得JS弹出窗口.那么应该在哪些浏览器/版本上工作呢？

网址:

http://jsfiddle.net/rL1z32xb/

Answer 1

您需要打破Netscape 4的副本才能重现它.

较新版本的Netscape(以及所有其他浏览器)不允许使用该&运算符.