设置dom的innerHTML,里面的js代码并不会执行,虽然是蓝色的,vue的xss注入一般通过v-html绑定富文本,但是包含script不会执行
改为dom事件,比如img的onerror事件来自动执行,示例如下
<div id="app">
<div v-html="msg"></div>
</div>
<script src="https://cdn.jsdelivr.net/npm/vue@2/dist/vue.js"></script>
<script>
var vue = new Vue({
el: '#app',
data: { msg: '<img onerror="alert(11)" src="xx">' }
})
</script>
会不会是代码里面它重写了alert方法,就像这样
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Document</title>
</head>
<script>
window.alert = function (data) {
console.log(data)
}
</script>
<body>
<div><script>window.alert(111)</script></div>
<div>24342 </div>
</body>
</html>
你可以试试在它网站的console里面输入alert(11)看看能否弹出,如果能弹出来那就不是这种猜想