如<img src="data:image/gif;.. 这样?
1
virusdefender 2015-11-27 19:07:47 +08:00
老版本的浏览器解析图片有 bug ,会把图片里面的内容当 html 或者 js 解析,现在的浏览器基本没有这个问题了。
|
2
qqmishi 2015-11-27 23:56:33 +08:00
@virusdefender 我在 gif 文件后面加入了<script>alert(1);</script>,然后在 php 里面 include ,打开 php 实测还是弹窗了,不过页面也变成了乱码。浏览器为 Chrome 46.0.2490.86 m
|
3
w3hacker 2015-11-28 00:03:09 +08:00
<script>location.href = '//www.baidu.com';</script>
|
4
virusdefender 2015-11-28 00:10:31 +08:00
@qqmishi include 的话就成了 html 了啊,我说的是 <img src =“ xxx.gif ”> 的场景
|
5
qqmishi 2015-11-28 00:14:39 +08:00
@virusdefender 你说得对,刚试了这种方式确实不会执行后面的 js 代码了
|
6
redtea OP http://stackoverflow.com/questions/9157621/is-it-safe-to-put-base64-encoded-user-data-into-src-of-img
终于找到了一种可能,需要对图片内容进行校验,否则图片内容没有进行 base64 就会中招。 |