文字列\ "; alert（ 'XSS'）; //をXSSにどのように使用できますか？
いくつかのテストにBurp Suiteを使用していて、次の文字列が含まれていることに気付きました。
\";alert('XSS');//
xSSペイロードの攻撃文字列として。
この文字列を使用してXSS攻撃を実行する方法を教えてください。
この場合、最初の\エスケープをエスケープして、攻撃者にエスケープされていない二重引用符を提供します：
var x="\\";alert('XSS');//"
これは、ターゲットアプリケーションに壊れたエスケープルーチンがあることを前提としています。
文字列の目的は、JavaScriptインジェクションが可能かどうかをテストすることです。それ自体には害はありません。「XSS」というメッセージの警告ボックスのみが表示されます。これは、JavaScriptを使用してWebサイトに正常に挿入されたことを意味します。次に、攻撃者はJSを挿入してXSS攻撃を実行する可能性があります。
このシナリオについてはわかりませんが、このように考えてください。
アプリケーションは、ユーザーが提供したものからの入力をJavaScriptに提供しています。
お気に入り
<script>
somecode
"some value the user input here"
alert('XSS');//
</script>
その場合、スクリプトタグは必ずしも必要ではありませんが、コードのみがXSSとして機能します。そのような状況では、コード\ "; alert（ 'XSS'）; //が必要になります。考えを共有するだけです。