网址中onmouseover的跨网站脚本漏洞

Question

一个网站已经过漏洞审查，它为许多页面标记了XSS，以我的观点，这些页面似乎没有受到攻击，因为我没有显示从页面或URL捕获的任何数据（例如查询字符串）。

Acunetix通过添加一些Javacript代码将以下URL标记为XSS

http://www.example.com/page-one//?'onmouseover='pU0e(9527)

报告：

  

获取/ page-one //？'onmouseover ='pU0e（9527）'bad ='HTTP / 1.1   推荐人：https://www.example.com/   连接：保持活动状态   授权：基本FXvxdAfafmFub25cfGb =   接受： /   接受编码：gzip，deflate   主持人：example.com

那么，这怎么可能容易受到攻击呢？还是有可能容易受到攻击？

首先，如果可以将onmouseover添加为XSS，那么它将如何受到影响？

Answer 1

由于您要求提供更多信息，因此我将回复作为答复。

我看到的主要问题：

如果我不使用代码中的任何参数，查询字符串中还会存在XSS漏洞吗？

好吧，如果实际上根本没有使用它们，那应该是不可能的。 但是，您可能会忽略一些微妙的使用方式。 （在此处发布实际的源代码会很有用）。

一个例子就是这样：

Response.Write("<a href='" + 
HttpContext.Current.Request.Url.AbsoluteUri) + "'>share this link!</a> 

这会将整个URL放在网页的正文中。攻击者可以使用查询字符串，即使它们没有映射到变量，因为完整的URL写入响应中。请记住，它也可能在隐藏的字段中。

请小心地写出HttpContext.Current.Request.Url.AbsoluteUri或HttpContext.Current.Request.Url.PathAndQuery之类的值。

一些提示：

• 通过在现代浏览器（例如Chrome）中打开链接，确认扫描仪未报告误报。在控制台上检查有关“ XSS Auditor”或类似问题的错误。
• 在写入响应之前，请使用antixss库对不受信任的输出进行编码。
• 阅读：https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet