javascript - 从输入脚本中删除 javascript 字符('" \ &) 会阻止 XSS 吗？

Question

我有以下 html 输入字符串

<p><script>alert("hi")</script></p>
<img src=x:alert('xss') height= "20" width ="40" onerror=eval(src) alt="xssdemo"</img>

而不是使用反斜杠（'\'）转义字符（'“＆），完全删除这些字符将防止XSS弹出？

基本上这里我不想使用传统的 \ 转义，因为它会破坏 html 格式。我正在考虑完全删除字符本身。例如：高度 = \"20\"。

标签： javascripthtmlxss

Answer 1

没有。反例：

<img src=nothing onerror=document.title++>

事实上，您也可以这样执行一些任意代码，前提是您事先将其转换为JSFuck。