无属性 HTML 标签的 XSS 安全性
如果 HTML 标签没有属性，XSS 安全吗？
Are HTML tags XSS safe if they have no attributes?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
如果 HTML 标签没有属性，XSS 安全吗？
Are HTML tags XSS safe if they have no attributes?
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
接受 或继续使用网站，即表示您同意使用 Cookies 和您的相关数据。
发布评论
评论（3）
不。
No.
<脚本> 怎么样？和
What about <script> and <style>, in most browsers they also work without attributes. Or if they don't close a specific tag it can also mess with the page.. just leave open a <strong> or something and everything's bold for example.
我在这里的立场是......你如何检测他们没有属性？可以生成特殊的 HTML 代码，在浏览器中执行 Javascript，并绕过过滤器检查属性。
看看这个演示文稿http： //www.blackhat.com/presentations/bh-usa-09/VELANAVA/BHUSA09-VelaNava-FavoriteXSS-SLIDES.pdf
无论如何，如果你想要一个是/否的答案，我的答案是“否”:)
My position here is... how are you going to detect they don't have attributes? It's possible to generate special HTML code that executes Javascript in the browser and bypass filters checking for attributes.
Take a look to this presentation http://www.blackhat.com/presentations/bh-usa-09/VELANAVA/BHUSA09-VelaNava-FavoriteXSS-SLIDES.pdf
Anyway, if you want a yes/no answer mine is NO :)