不要小看注釋掉的JS 引起的安全問題
更新時間：2008年12月27日 16:46:16 作者：
HTTP Response Splitting 攻擊主要說明的是兩個問題
一個是header插入問題。
另一個是\r\n問題。
我們來看這樣一段代碼：
1. test
2. <script>
3. //alert('<%=request.getParameter("username")%>');
4. </script>
大家都能看到，這好像有個漏洞，但是已經(jīng)被補上了，注釋掉了。
那既然注釋掉了，就不該有問題了么？
不是的。
再看這個URL
http://localhost/index.jsp?username=kxlzx%0d%0a%0d%0aalert('kxlzx
很無奈吧？
生成了如下代碼：
test
<script>
//alert('kxlzx
alert('kxlzx ');
</script>
注釋掉的JS，也執(zhí)行了。
所以，不要把沒用的代碼，注釋掉的JS等，扔到html里。
代碼審核是個細(xì)活，任何疏漏之處都值得注意。
另一個是\r\n問題。
我們來看這樣一段代碼：
1. test
2. <script>
3. //alert('<%=request.getParameter("username")%>');
4. </script>
大家都能看到，這好像有個漏洞，但是已經(jīng)被補上了，注釋掉了。
那既然注釋掉了，就不該有問題了么？
不是的。
再看這個URL
http://localhost/index.jsp?username=kxlzx%0d%0a%0d%0aalert('kxlzx
很無奈吧？
生成了如下代碼：
test
<script>
//alert('kxlzx
alert('kxlzx ');
</script>
注釋掉的JS，也執(zhí)行了。
所以，不要把沒用的代碼，注釋掉的JS等，扔到html里。
代碼審核是個細(xì)活，任何疏漏之處都值得注意。
相關(guān)文章
這篇文章主要幫助大家擁有一個屬于自己的javascript表單驗證插件，文中示例代碼介紹的非常詳細(xì)，具有一定的參考價值，感興趣的小伙伴們可以參考一下2016-03-03
本文是對js中的onclick事件傳參進行了詳細(xì)的講解，需要的朋友可以過來參考下，希望對大家有所幫助2013-11-11
這篇文章主要介紹了js實現(xiàn)的彩色方塊飛舞奇幻效果,涉及JavaScript響應(yīng)鼠標(biāo)事件動態(tài)操作頁面元素樣式的相關(guān)技巧,需要的朋友可以參考下2016-01-01
Javascript數(shù)組的?splice?方法詳細(xì)介紹
這篇文章主要介紹了Javascript數(shù)組的splice方法詳細(xì)介紹，splice方法通過刪除或替換現(xiàn)有元素或者原地添加新的元素來修改數(shù)組,并以數(shù)組形式返回被修改的內(nèi)容。此方法會改變原數(shù)組2022-09-09
這篇文章主要介紹了JavaScript生成隨機驗證碼代碼實例,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2019-09-09
bootstrap導(dǎo)航欄、下拉菜單、表單的簡單應(yīng)用實例解析
這篇文章主要介紹了bootstrap導(dǎo)航欄、下拉菜單、表單的簡單應(yīng)用實例解析,非常不錯，具有參考借鑒價值，需要的朋友參考下吧2017-01-01
這篇文章主要介紹了微信小程序?qū)崿F(xiàn)客服消息自動回復(fù)圖片消息，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)吧2023-01-01
本文給大家分享的是一段兼容各大瀏覽器的JavaScript阻止事件冒泡代碼，雖然因為時間問題沒有深入研究，但是還是相當(dāng)不錯的，這里推薦給大家2015-07-07
這篇文章主要介紹了原生js頁面滾動延遲加載圖片的相關(guān)資料,現(xiàn)在瀑布流效果大行其道，各種網(wǎng)站都有應(yīng)用，尤其是專業(yè)的圖片類型的網(wǎng)站，感興趣的朋友可以參考下2015-12-12
javascript框架設(shè)計讀書筆記之模塊加載系統(tǒng)
本文是司徒正美的《javascript框架設(shè)計》的第二章模塊加載系統(tǒng)的讀書筆記，根據(jù)自己的理解，簡要的跟大家講述了本章的主要內(nèi)容，方便大家更好的學(xué)習(xí)。2014-12-12