Javascript:alert(1) без ":"
Здравствуйте, у меня вопрос.
Есть 2 кода: <a href=javascript:alert(1)>XSS</a> <a onmouseover=alert(1)>XSS</a> Можно ли их переделать так, чтоб в первом случае получился js код без символа ":", а во втором случае - событие без приставки "on"? Может можно применить функции unescape или String.fromCharCode? |
1 нет
2 да,если добавить на страницу <script>, который добавит обработчик события сам ... короче, тоже не годится |
Часовой пояс GMT +3, время: 23:35. |