引言
你是否注意到以下 HTTP 响应中的某些内容？
HTTP/1.1 200 OK
Server: Some Server
Content-Type: text/html
Content-Length: 1337
<!DOCTYPE html>
<html>
<head><title>Some Page</title></head>
<body>
...
根据这段 HTTP 响应，可以推测该 Web 应用程序可能容易受到 XSS 漏洞的影响。这个响应缺少一个关键属性：charset，这是攻击者利用的关键点。通过更改浏览器假定的字符集，攻击者可以将任意JavaScript代码注入网站。
字符编码
常见响应头
常见的 HTTP 响应头如下：
HTTP/1.1 200 OK
Server: Some Server
Content-Type: text/html; charset=utf-8
...
字符编码charset=utf-8
-
charset：指定文本内容的字符编码。 -
utf-8：表示使用 UTF-8 编码，兼容 ASCII。
如果Content-Type标头中缺少charset属性，浏览器会在 HTML 文档中查找<meta>标记中的charset属性来确定编码方式，或者使用字节顺序标记（BOM）。
浏览器字符编码检测
当浏览器接收到 HTML 文档时，会根据以下优先级来确定字符编码：
-
HTML 文档开头的字节顺序标记（BOM）
-
Content-Type标头中的charset属性 -
HTML 文档中的
<meta>标记
4A评测 - 免责申明
本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。
不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。
本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。
如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！
程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。
侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）
