和JavaScript包括

Question

OWASP的XSS Filter Evasion Cheat Sheet提到“＆JavaScript includes”：

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#.26_JavaScript_includes

它提供的示例如下：

<BR SIZE="&{alert('XSS')}">

我尝试使用Chrome和Firefox的jsfiddle，但我没有获得JS弹出窗口。 那么应该在哪些浏览器/版本上工作呢？

网址：

http://jsfiddle.net/rL1z32xb/

Answer 1

您需要打破Netscape 4的副本才能重现它。

较新版本的Netscape（以及所有其他浏览器）不允许使用&运算符。