我正在尝试执行 DOM XSS 攻击以利用 localhost 网页的漏洞。我能够在 IE-11 和 Chrome 上成功执行攻击。但是 Firefox 通过对我放入 URL 的脚本进行编码来阻止我执行攻击。我正在按照官方 OWASP 页面上的说明执行攻击。为了绕过 chrome 的 XSS 审核员，我遵循这篇惊人的文章中解释的技巧（尽管他在文章中解释了反射型 XSS，但它也适用于 DOM XSS）。那么如何在最新的 Firefox 上执行 DOM XSS 攻击呢？
注意：我可以使用 Firefox （示例）执行反射型 XSS，但我希望 DOM XSS 专门用于不将信息发送到服务器的地方。
原因很简单：Firefox（我认为是从 27 版开始）现在对所有内容进行编码（URL 编码），如果在代码中开发人员会出现明显的解码错误，您现在只能在 Firefox 中利用 DOM XSS。
您可能会发现这篇最近发表的文章很有用：http ://www.lanmaster53.com/2014/3/dom-based-xss-revisited/
也许查看https://code.google.com/p/domxsswiki/wiki/Index以帮助您根据浏览器供应商确定哪些字符已编码或未编码。
例如，在下面...
scheme://user:pass@host/path/to/page.ext/Pathinfo;semicolon?search.location=value#hash=value&hash2=value2... Firefox 中PathInfo部分、搜索部分和hash部分中未进行 url 编码的字符如下（上面链接的部分页面截图）：
