Html中的XSS漏洞

Question

如何修复此漏洞？

<input type=hidden name=target value="$$target$$">
Injection Code

Injection
<input type=hidden name=target value="https://test/ff5b27051cb9fatest" accesskey=x onclick=alert(document.location)"">

Answer 1

您没有对"字符进行编码。这使得攻击者能够终止您的HTML属性(value)并注入他们自己的属性(onclick)。正如其他人所提到的，您应该使用受信任的消毒器，但正如您所展示的，关键漏洞是无法对引号进行编码。