通过<img>-tag注入javascript

Injecting javascript thourgh <img>-tag

本文关键字：注入 javascript -tag img 通过      更新时间：2023-09-26

我想知道是否有可能通过img-tag注入一些javascript代码。场景是这样设置一个html页面

<img src="anotherdomain.com/someimage.jpg" />

另一个域是我的域。是否有可能将对/someimage.jpg的调用重定向到另一个文件，该文件包含请求图像时执行的一些javascript代码?

浏览器不应该尝试将通过<img>标记接收的代码作为JavaScript执行。该脚本将被传递到浏览器，但在它的位置将是一个破碎的图像，无法显示。

浏览器将只执行在<script>标签或onclick,onmouseover,onmouseout,etc...属性中接收的脚本作为基本安全原则

不行，目前所有主流浏览器都不接受javascript代码

No。问题(如果你想这样称呼它)是，问题的URL被解释为图像数据，而不是作为一个JS脚本。所以不管它是什么或者它是如何被重定向的，它都不会被评估为JS。

注意:& lt; script>标签可以跨域工作，所以你应该使用它。

相关文章：