参考：https://owasp-skf.gitbook.io/asvs-write-ups/cross-site-scripting-href-xss-href/kbid-3-xss-url

输入https://www.baidu.com再点击visit，会跳转至百度页面，这里可能存在xss注入点

并且可以看到此处href值被修改为了百度的url，如果此处构造JavaScript语句，可能造成xss

如果输入href="<%- xss %>，f12发现并没有被转义，尝试xss：javascript:alert('XSS')

版权声明：本文为security原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://www.cnblogs.com/smile2333/p/17066299.html