Firefox 28.0中的XSS

Question

我的网站遇到了XSS错误

http://www.example.com/search.aspx?&lcid=</script><img src=a onerror=alert("MTK");>

以上帖子到我的服务器并发出警告信息

这是我的表格标签

<form id="aspnetForm" onsubmit="javascript:return WebForm_OnSubmit();" action="/search.aspx?&lcid=%3C/script%3E%3Cimg%20src=a%20onerror=alert(%22MTK%22);%3E" method="post">

仅在Firefox 28.0中发生这种情况。在IE中，它会自动停止请求警告用户XSS

任何人都可以帮助我吗

由于

Answer 1

查看XSS (Cross Site Scripting) Prevention Cheat Sheet - 这会告诉您lcid值输出到search.aspx页面时要使用的相应编码。

在向页面输出动态内容时，您应该使用适当的编码来阻止XSS - 永远不要依赖浏览器的XSS过滤器来执行此操作 - 这只是浏览器供应商实施的紧急预防措施 - 它应该是网站本身负责不让用户以这种方式受到攻击。