CSS injection 知识总结

现代浏览器都已不允许在CSS中执行JavaScript了,以前的CSS注入可以利用JavaScript协议在 url() 、 [removed]) 中执行Javascript代码从而实现XSS。但是目前CSS注入在窃取数据方面仍然是非常有用的,下面分别来分析一下。 CSS 注入 窃取标签属性数据 CSS中可以使用属性选择器,根据不同的属性选择标签。比如下面CSS选择含有a属性且其值为abc的p标签。 <style>p[a=abc]{ color: red;}</style> hello world 属性选择器还可以匹配值的一些特性,比如以X