如何在 ASP.NET 中模拟 XSS？

Question

我想要一个简单的方法来模拟 XSS 攻击。

我创建了 asp.net 核心 5.0 mvc，然后添加了 controller：

public class HelloWorldController : Controller
{
    public string Welcome(string name)
    {
        return name;
    }
}

然后启动 /helloworld/welcome?name=<script>alert("hello")</script>，期望显示警报，但它显示为纯文本。

Answer 1

如果要显式执行此操作，则需要告诉视图引擎这样做：

public IActionResult Index(string name)
{
    ViewBag.name = name;
    return View();
}

@Html.Raw(ViewBag.name)

没有它，asp.net 内核会对它进行编码，然后将其显示为字符串，因为它是字符串。 您在代码中明确返回一个字符串。