这是一个创建于 3284 天前的主题，其中的信息可能已经有所发展或是发生改变。
如<img src="data:image/gif;.. 这样？
 |
1
virusdefender 2015-11-27 19:07:47 +08:00
老版本的浏览器解析图片有 bug ，会把图片里面的内容当 html 或者 js 解析，现在的浏览器基本没有这个问题了。
|
 |
2
qqmishi 2015-11-27 23:56:33 +08:00
@virusdefender 我在 gif 文件后面加入了<script>alert(1);</script>，然后在 php 里面 include ，打开 php 实测还是弹窗了，不过页面也变成了乱码。浏览器为 Chrome 46.0.2490.86 m
|
 |
3
w3hacker 2015-11-28 00:03:09 +08:00
<script>location.href = '//www.baidu.com';</script>
|
|
4
virusdefender 2015-11-28 00:10:31 +08:00
@qqmishi include 的话就成了 html 了啊，我说的是 <img src =“ xxx.gif ”> 的场景
|
|
5
qqmishi 2015-11-28 00:14:39 +08:00
@virusdefender 你说得对，刚试了这种方式确实不会执行后面的 js 代码了
|
 |
6
redtea OP http://stackoverflow.com/questions/9157621/is-it-safe-to-put-base64-encoded-user-data-into-src-of-img
终于找到了一种可能，需要对图片内容进行校验，否则图片内容没有进行 base64 就会中招。 |
Select Language