XSS攻击者可以使用span,p,label...标签

Question

我知道 XSS 攻击者使用文本框将脚本注入页面。我想知道是否可以在表单中的span、p、label元素上使用脚本，并将其注入页面中。我们应该尝试通过标签来防止这种攻击吗？

Answer 1

您需要记住的是，XSS 漏洞的发生仅仅是因为将不受信任、未经验证和未转义的数据呈现到网页的任何位置。这包括 JavaScript、CSS 以及 HTML 正文中的任何地方。

如果您只是通过设置属性来生成完整的 HTML 元素并不重要，因为 XSS 很容易突破要呈现的标签并插入自己的标记。