XSS绕过单引号限制

某视频网站，我在随处逛逛后发现了一个通过发送get请求来进行iframe连接的网页 有iframe。第一个想到的就是通过js伪代码来制造xss 所以我就简单写了一个alert 可以成功执行。没有过滤javascript:。那么我们尝试获取cookie。 也可以。并没有做过滤。那我们稍微修改一下。让cookie发到我的服务器不就可以盗取用户凭据了吗。 简单的写了个发送cookie的js代码 接收端代

>>阅读原文<<