谁能解释一下这些 XSS 测试字符串吗？

最近我发现了这个关于 XSS 和 Web 应用程序安全的教程 ->https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#XSS_Locator https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#XSS_Locator

一开始需要注入一些字符串，以测试站点是否容易受到 xss 攻击。这些字符串是：

';alert(String.fromCharCode(88,83,83))//';alert(String.fromCharCode(88,83,83))//";
alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//--
></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT> 

and

'';!--"<XSS>=&{()}

我知道 XSS 的基本概念，但在这里我不明白为什么第一个字符串中会重复出现 'alert(String.fromCharCode(88,83,83))' 以及为什么这些//'; //"; //-->需要注释（在搜索 xss bug 时以这种方式使用它们是否意味着特殊的东西？）。 在第二个字符串中， &{()} 序列的用途是什么？

谁能解释一下我具体例子这两个字符串应该如何工作才能检索 Web 应用程序内的 xss bug？因为我链接的网站上没有给出任何解释......

这看起来像是在尝试几种不同的注入，所以我会尝试一次分解它们：

第一次注射

';alert(String.fromCharCode(88,83,83))//

此注入尝试终止 JavaScript 字符串文字（使用'），然后终止该语句（用;）并拨打电话alert(String.fromCharCode(88,83,83))这将导致弹出包含“XSS”的框。下列//是尝试“注释掉”语句的其余部分，以便不会发生语法错误并且脚本将执行。

第二次注射

";alert(String.fromCharCode(88,83,83))//

与第一次注射类似，但它使用"试图终止 JavaScript 字符串文字。

第三次注射

--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>

这试图做以下事情：

1. 终止 HTML（或 XML）注释（使用-->)
2. Terminate an existing <SCRIPT> tag using </SCRIPT>
   • 这样做是为了防止注入的脚本导致语法错误，从而阻止注入的脚本执行。
3. 终止 HTML 属性和标签，使用">
4. 终止 HTML 属性和标签，使用'>
5. 使用注入 JavaScript<SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>

第四次注射

'';!--"<XSS>=&{()}

这是一个常用字符串，用于测试用户输入上使用的过滤器和/或编码（如果有）。通常，注入后的页面源将包含<XSS or <XSS。如果找到第二个，则应用程序很可能不会过滤用户输入（因为它允许添加任意标签），并且很可能容易受到 XSS 攻击。

回答您更直接的问题：

为什么会重复“alert(String.fromCharCode(88,83,83))”

这是一个常见的“概念验证”功能，它将导致出现一个包含“XSS”的弹出框。如果发生这种情况，则执行注入的 JavaScript。

为什么第一个字符串中重复出现 'alert(String.fromCharCode(88,83,83))' 以及为什么 //'; //"; //-->

这些用于防止语法错误，这可能导致注入的 JavaScript 无法执行。