1.2 KiB
1.2 KiB
黑名单拦截了所有常见标签和事件，但页面仍然需要支持富文本渲染，你会从哪些方向尝试突破？
- 黑名单通常基于已知的威胁列表，但 HTML 标准在不断演进，总有漏网之鱼
多媒体标签的嵌套属性：除了 video，还有 audio、track、embed
交互式元素：details 和 summary 标签
SVG 内部的深层逻辑：SVG 不仅仅是图片，它是 XML
- 如果富文本允许
style标签或style属性，即使无法执行 JS，也能造成极高危害
利用 content 与伪元素：在某些特定环境下，CSS 甚至可以触发特定的交互行为或点击劫持
- 富文本渲染往往伴随着前端框架（如 Vue、Angular、React）
双大括号语法：如果后端直接把富文本内容丢进了前端模板的渲染区域，可以尝试注入模板指令
- 黑名单通常使用正则匹配，而正则很难处理复杂的 HTML 解析状态
利用畸形编码：在支持富文本的编辑器（如 TinyMCE, CKEditor）中，测试其对 \r、\n 或 \0 的处理。有时编辑器会将这些字符过滤掉，但过滤后的字符串恰好拼凑成了恶意代码