可以将HREF与jQuery一起使用容易受到XSS的攻击吗？

Question

Burp suite显示错误。

该应用程序可能容易受到基于DOM的跨站点脚本的攻击。从位置读取数据，并通过以下语句将其传递给jQuery（）：这里location是包含当前地址哈希的javascript location对象jQuery（location）.attr（'href'）。split（“ //”）[1];上面的代码容易受到跨站点脚本的攻击吗？

在以下代码中使用

var address = jQuery(location).attr('href').split('//')[1]; 
subdomain = address.split('.')[0]; 
this.href = this.href.replace(subdomain, 'www'); 
window.location = this.href;

Answer 1

似乎是假阳性错误。其他人也有类似的经验。

Burp套件支持中心的一位人士说：

该代码几乎可以被利用。如果是：

$(location).attr(‘href’, ‘’ + var1 + ’/’);

并且var1可以由攻击者控制，他们可以注入“ javascript：alert（document.domain）”，然后将其执行。但是，在斜杠前面添加将防止这种情况。

由于我们不尝试进行字符串分析，因此我们的静态分析可能会在类似模式下产生误报。

Page of thread above

只要您不允许在href属性中使用变量，就可以了。在这种情况下，您似乎只能[[read href属性值。