通过 img 标签进行 XSS，多余的分号？

Question

我正在查看 WebGoat 练习，对于一个问题，他们要求您使用 img 标签创建一个 JavaScript 警报。

他们的解决方案是这样的：

<img src=x onerror=;;alert('XSS') />

看看他们的解决方案，我想知道为什么在实际警报之前需要两个（而不是只有一个）分号？

Answer 1

事实上，分号不是必需的，我只是在最新的 FF5 和 Chrome 上测试了相同的标签，没有分号，它们都用这个发送警报，

<img src=x onerror=;;alert('XSS') />
<img src=x onerror=alert('XSS') />
<img src="x" onerror="alert('XSS')" />

我认为它们试图阻止第一个分号中的 onerror 事件，然后输出虚假的警报中事件的代码

我尝试了此操作

<img src=x onerror=alert('eventfire');;alert('XSS') />

，它将两个警报都包含在事件内，因此它不会在事件范围之外运行第二个警报。

回答？似乎在做同样的事情，没有分号（也许旧浏览器解析 html 很差并且在事件范围之外执行警报？？？）