试图利用？

Question

我看到我的nopCommerce网站有一个记录搜索:

ADw-script AD4-alert(202) ADw-/script AD4-

虽然他们想要完成什么,但我有点好奇.我搜索了一下,看起来ADw-script AD4-是UTF7中的编码<script>.但为什么alert(202)呢？

他们只是检查漏洞吗？

Answer 1

有人正在检查您是否有UTF-7注入漏洞以便以后使用它.UTF-7仅使用通常不被视为有害的字符.你总是在HTML中使用meta charset吗？

始终在HTML中尽可能使用meta charset,如下所示:

<!doctype html>  
<html lang="en-us">
<head>
  <meta charset="utf-8">
  ...

而且您不必担心基于UTF-7的XSS攻击.

如果您不使用meta charset,那么如果您碰巧显示任何用户输入,那么对于使用Internet Explorer的访问者来说,它是一个XSS漏洞.请参阅:[维基百科](http://en.wikipedia.org/wiki/UTF-7#Security),[Doctype](http://code.google.com/p/doctype/wiki/ArticleUtf7)和[UTF -7 XSS备忘单](http://openmya.hacker.jp/hasegawa/security/utf7cs.html) (3认同)