使用 src 标签注入脚本

Question

有人要我使用此标签来获取已加载页面的数量和一些信息。

但我不知道，会不会很危险？

<img style="display: none;" src="https://www.******/Distribute/PopSell/5" />

例如，它可以打印自定义脚本或任何内容？

Answer 1

他将能够计算获得 url、您的访问者 ip、refferrs、时间、浏览器的一些信息（正常）以及他从他的网站访问者那里获得的相同信息

他不能 (xss) 你的网站让他能够通过控制他的 url 和脚本查看任何图像，并且只听你的访问者计数和分析中使用的正常信息..

这里是 use javascript in src

的例子

放静态url不用担心

他不能运行你页面中的任何代码而不更改你已经设置的 link 并确保没有任何代码

即使使用重定向

预留可以加

<img class="no_borken" src="http://hisValidURL...">
<script>
    $('.no_borken').error(function () {
        $(this).attr('src', 'images/error.png');
    });

</script>

使用 src 标签注入脚本

injection script by using src tag

security

javascript-injection