过滤时是否可以进行XSS攻击

Question

是否可以发送XSS攻击，如果是服务器过滤器，但是＆lt; {space} tag＆gt;允许并发回？似乎浏览器不采取＆lt;标签＆GT;作为HTML标记:(

服务器仅更改输入。 （点）到，（逗号）和过滤器

感谢。

Answer 1

仍然可以进行属性攻击（打破html属性并添加javascript事件处理程序）。

Answer 2

如另一个答案所述，还有许多其他方式可以发生XSS攻击。好的资源是

https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet

https://www.owasp.org/index.php/Testing_for_Cross_site_scripting

具体示例：

<b onmouseover=alert('Wufff!')>click me!</b>