和JavaScript包括

Question

OWASP的XSS Filter Evasion Cheat Sheet提到“＆JavaScript includes”：

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#.26_JavaScript_includes

它提供的示例如下：

<BR SIZE="&{alert('XSS')}">

我嘗試使用Chrome和Firefox的jsfiddle，但我沒有獲得JS彈出窗口。 那么應該在哪些瀏覽器/版本上工作呢？

網址：

http://jsfiddle.net/rL1z32xb/

Answer 1

您需要打破Netscape 4的副本才能重現它。

較新版本的Netscape（以及所有其他瀏覽器）不允許使用&運算符。