牢记一句话，先HTML后URL再JavaScript
Basics
1
<a href="%6a%61%76%61%73%63%72%69%70%74:%61%6c%65%72%74%28%31%29"></a>
URL encoded "javascript:alert(1)"
Answer: 不执行
里面没有HTML编码内容，不考虑，其中href内部是URL，于是直接丢给URL模块处理，但是协议无法识别（即被编码的javascript:），解码失败，不会被执行
URL规定协议，用户名，密码都必须是ASCII，编码当然就无效了
2
<a href="javascript:%61%6c%65%72%74%28%32%29">
Character entity encoded "javascript" and URL encoded "alert(2)"
Answer:执行
先HTML解码，得到
<a href="javascript:%61%6c%65%72%74%28%32%29">
href中为URL，URL模块可识别为javascript协议，进行URL解码，得到
<a href="javascript:alert(2)">
由于是javascript协议，解码完给JS模块处理，于是被执行
3
<a href="javascript%3aalert(3)"></a>
URL encoded ":"
Answer: 不执行
同1，不解释
4
<div><img src=x onerror=alert(4)></div>
Character entity encoded < and >
Answer: The javascript will NOT execute.
这里包含了HTML编码内容，反过来以开发者的角度思考，HTML编码就是为了显示这些特殊字符，而不干扰正常的DOM解析，所以这里面的内容不会变成一个img元素，也不会被执行
从HTML解析机制看，在读取<div>之后进入数据状态，<会被HTML解码，但不会进入标签开始状态，当然也就不会创建img元素，也就不会执行
5
<textarea><script>alert(5)</script></textarea>
Character entity encoded < and >
Answer: The javascript will NOT execute AND the character entities will NOTbe decoded either
<textarea>是RCDATA元素（RCDATA elements），可以容纳文本和字符引用，注意不能容纳其他元素，HTML解码得到
<textarea><script>alert(5)</script></textarea>
于是直接显示
RCDATA`元素（RCDATA elements）包括`textarea`和`title
6
<textarea><script>alert(6)</script></textarea>
Answer: The javascript will NOT execute.
同5，不解释
Advanced
7
<button onclick="confirm('7');">Button</button>
Character entity encoded '
Answer: The javascript will execute.
这里onclick中为标签的属性值（类比2中的href），会被HTML解码，得到
<button onclick="confirm('7');">Button</button>
然后被执行
8
<button onclick="confirm('8u0027);">Button</button>
Unicode escape sequence encoded '
Answer: 不执行
onclick中的值会交给JS处理，在JS中只有字符串和标识符能用Unicode表示，'显然不行，JS执行失败
9
<script>alert(9);</script>
Character entity encoded alert(9);
Answer: 不执行
script属于原始文本元素(Raw text elements)，只可以容纳文本，注意没有字符引用，于是直接由JS处理，JS也认不出来，执行失败
原始文本元素(Raw text elements)有<script>和<style>
10
<script>u0061u006cu0065u0072u0074(10);</script>
Unicode Escape sequence encoded alert
Answer: The javascript will execute.
同8，函数名alert属于标识符，直接被JS执行
11
<script>u0061u006cu0065u0072u0074u0028u0031u0031u0029</script>
Unicode Escape sequence encoded alert(11)
Answer: 不执行
同8，不解释
12
<script>u0061u006cu0065u0072u0074(u0031u0032)</script>
Unicode Escape sequence encoded alert and 12
Answer: The javascript will NOT execute.
这里看似没毛病，但是这里u0031u0032在解码的时候会被解码为字符串12，注意是字符串，不是数字，文字显然是需要引号的，JS执行失败
13
<script>alert('13u0027)</script>
Unicode escape sequence encoded '
Answer: 不执行
同8
14
<script>alert('14u000a')</script>
Unicode escape sequence encoded line feed.
Answer: The javascript will execute.
u000a在JavaScript里是换行，就是n，直接执行
Java菜鸡才知道在Java里u000a是换行，相当于在源码里直接按一下回车键，后面的代码都换行了
Bonus
15
<a href="javascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(15)"></a>
Answer: The javascript will execute.
先HTML解码，得到
<a href="javascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(15)"></a>
在href中由URL模块处理，解码得到
javascript:u0061u006cu0065u0072u0074(15)
识别JS协议，然后由JS模块处理，解码得到
javascript:alert(15)
最后被执行
总结
-
<script>和<style>数据只能有文本，不会有HTML解码和URL解码操作 -
<textarea>和<title>里会有HTML解码操作，但不会有子元素 -
其他元素数据（如
div）和元素属性数据（如href）中会有HTML解码操作 -
部分属性（如
href）会有URL解码操作，但URL中的协议需为ASCII -
JavaScript会对字符串和标识符Unicode解码
根据浏览器的自动解码，反向构造 XSS Payload 即可
因为不知道原文链接，原创麻烦联系！！！
原文始发于微信公众号（鱼板安全）：为什么我的XSS又不执行 ！
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论