是否可以对查询字符串进行 XSS 攻击？

Question

给定网址：

http://www.example.com/abc?q1=foo&q2=<USER SUPPLIED>

此网址可攻击吗？ （假设

<USER SUPPLIED>

未在 HTML 文档中输出）。

If 这被打印到

href

属性，并且是 HTML 编码的，但不是 URL 或属性编码的。 攻击者可以做什么？

Answer 1

如果页面上根本使用了“q2”值，并且无论如何都没有对其进行清理（您正在执行简单的

$_GET['q2']

来读取该值），则被视为 XSS。即使它没有打印在页面上的任何位置，它也会创建Reflected XSS。攻击者可以插入任何内容而不是参数，如果它运行，甚至插入到您的数据库中，他可以捕获您的 phpmyadmin 会话 cookie，或者根据您的页面如何使用此值进行其他无害的操作。