css样式文件中怎么写脚本,CSS样式表中的跨站点脚本

厌否

于 2021-08-04 10:37:04 发布

阅读量308

点赞数

文章标签： css样式文件中怎么写脚本

本文探讨了CSS中执行JavaScript所带来的安全风险，包括expression(...)、url('javascript：...')及特定浏览器功能如Firefox的-moz-binding等方法。文章还提到了跨域内容窃取的技术，并讨论了XBL文件的应用限制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

来自浏览器安全手册

JavaScript执行的风险。作为一个鲜为人知的功能，某些CSS实现允许将JavaScript代码嵌入样式表中。至少有三种方法可以实现此目标：使用expression(...)指令，该指令可以评估任意JavaScript语句并将其值用作CSS参数；通过在支持它的属性上使用url('javascript：...')指令；或通过调用特定于浏览器的功能(例如Firefox的-moz-binding机制)。

...阅读完之后，我在StackOverflow上找到了它。请参阅在CSS中使用Javascript。在Firefox中，您可以使用XBL通过CSS在页面中注入JavaScript。但是，由于已修复错误324253，因此XBL文件必须位于同一域中。

还有另一种有趣的(尽管与您的问题有所不同)滥用CSS的方法。参见http://scarybeastsecurity.blogspot.com/2009/12/generic-cross-browser-cross-domain.html。本质上，您滥用CSS解析器来窃取来自其他域的内容。