Question

好吧，例如，我有这种不太安全和正确的形式

    <BODY>
<FORM ACTION="" METHOD="post" NAME="test" ID="test">
<INPUT TYPE="text" NAME="testt" VALUE="1">
<INPUT TYPE="reset" VALUE="testtt" onClick="test.submit()">
</FORM>

它注射的易受攻击我知道，但它的目的。当我直接从页面发送HTML代码时，表单将其解释为html代码。但是，当我使用来自JavaScript post request like a form submit的脚本时，它打印为纯文本我试图将文本转换为html实体，但它仍然打印为纯文本，如何使用该脚本发送html代码，这将被解释为html代码和注射将是可能的吗？

Answer 1

您可以尝试使用像this one.

这样的html解析器

Answer 2

好的我的解决方案是在一些特殊字符中添加反斜杠并添加CONTENT="text/html;

发送HTML代码

2 个答案: