javascript - XSS - アドレスバーの URL を自動的にエスケープするブラウザは?

Question

最近、asp.netサイトでxss / javascript-injection /ペネトレーション テストを行っていて、最新のWeb ブラウザー(最新の FF と Chrome) がアドレス バーに入力された URL をエスケープしていることに気付きました。

そう：

http://example.com/search/?q= "><script>alert('hi');</script>

次のように私のサーバーに送信されます。

http://example.com/search/?q=%22%3e%3cscript%3ealert(%27hi%27)%3b%3c%2fscript%3e

これを行うすべての (主要な) ブラウザとそうでないブラウザのリストはありますか? モバイルブラウザはこれを行いますか?

Answer 1

バグがあり、RFC ( RFC3986 )に従っていないブラウザを除いて、すべてのブラウザが URL をエスケープすると思います。

Answer 2

私が間違っていなければ、http://browsershots.org/などを使用してテストできます。

テスト例: http://browsershots.org/requests/12461378