200分求JS,VBScript中，能对客户端造成危害的关键字列表

Question

"允许用户输入执行javaScript/vbscript"----不是一个好主意

Answer 1

如document.write chr(20)
这样能用数字写出script代码来。

Answer 2

因为实际上产品已经做好了，很多功能允许用户输入script,所以不可能直接禁止用户输入script.
但是现在要为该产品增加安全保护功能，楼上提到的onclick,onmouseove确实有潜在危险，是一个很容易被触发的事件，但是这并不能直接造成攻击，必须跟其他能造成攻击的语句组合使用才可以。2楼大哥说的,document.write chr(20),能用数字写出script来，能给一个具体点的例子吗？比如alert('abc')该怎么写？

Answer 3

2楼大哥说的,document.write chr(20),能用数字写出script来，能给一个具体点的例子吗？比如alert('abc')该怎么写？<script>
s = "alert('abc')";
ar = new Array();
for(i=0;i<s.length;i++)
  ar[i] = s.charCodeAt(i);
document.write(ar);s = "";
for(i=0;i<ar.length;i++)
  s += String.fromCharCode(ar[i]);
document.write(s);
</script>

Answer 4

runat,&#114&#117&#110&#97&#116,cookie，替换所有&# ' 。