Почему через input и innerHTML не проходит скрипт?

Question

[Ingernirated]

Господа, минуточку внимания.
Подскажите, почему, если создать тег <p> изначально в html документе и вписать туда скрипт, то он выполняется.
Но при попытке вкинуть его через input или добавить при создании p, система даёт сбой?
https://jsfiddle.net/ntoLk0nf/2/

Comments

[Александр]

А листинг скрипта можно?

[Ingernirated]

https://jsfiddle.net/ntoLk0nf/2/

Answer 1

[Yevgeniy Kisselyov]

Не пойму что вы хотите сделать.
Но скрипт через innerHTML не будет работать насколько я знаю
Есть два путя
1. eval()
2.

var g = document.createElement('script');
var s = document.getElementsByTagName('script')[0];
g.text = "document.body.style.backgroundColor = 'white';"
s.parentNode.insertBefore(g, s);

Comments

[Ingernirated]

Наткнулся на статью, как защитить свой сайт от всякой всячины.
Хочу понять, как возможно засунуть скрипт на страницу, чтобы после избежать этого.
А то в статье все так просто, раз-два и твоей странице пи..да.
А на деле, чёт не заходит

[Yevgeniy Kisselyov]

Ingernirated: Вы наверное про XSS почитали, так тут надо на бэкенде в первую очередь защиту и фильтрацию входящих данных продумывать.

[Ingernirated]

Yevgeniy Kisselyov: надо, но прежде чем думать, надо же запихнуть, а не запихивается
А как eval использовать в данном случае?
Как-то читал о нём, но только то, что это странная штука, которой не стоит пользоваться

[alex]

Ingernirated: 1)https://learn.javascript.ru/basic-dom-node-propert... читайте про innerHTML и script. 2) разберитесь в своем коде, он нерабочий и трешовый немного

[alex]

Ingernirated: если интересна тема безопасности фронтенда - вот неплохое видео

[Ingernirated]

Alex: шушуть обновил.
https://jsfiddle.net/ntoLk0nf/6/
почему в него

<script>
document.body.appendChild(document.createElement("SCRIPT").appendChild(document.createTextNode(alert('hello'))));
</script>

не заходит или тоже лажа?

[Yevgeniy Kisselyov]

Ingernirated: Запихнуть зачем? Что даст человеку исполнение его JS в его же браузере? Для этого вообще достаточно консоль открыть в браузере и выполнять что угодно без всяких инпутов.
Страшнее когда человек может отправить не отфильтрованный скрипт в БД и тот будет выводится и исполнятся у других посетителей сайта.
Или мне непонятна суть вопроса, или вам суть "защиты от всякой всячины".

[Yevgeniy Kisselyov]

Ingernirated: Потому же. Код между тегами <script>небудет исполнятся при вставке через innerHTML.
Но можно туда же в инпут вставить такой HTML и кликнуть на надпись

<b onclick="document.body.style.backgroundColor = 'white';">CLICK ME!</b>

Опять же не пойму зачем это всё

[alex]

Ingernirated: что не заходит и куда не заходит? и что значит «не заходит»?

[Yevgeniy Kisselyov]

Alex: как я понял пытается в инпут на странице вставить скрипт, и ждет что после innertHTML он сработает.

[alex]

Ingernirated: вот разметка после нажатия на .pusher

spoiler

как видно скрипт добавился в dom но не выполнился, почему? вам об этом уже сказали все отписавшиеся под вашим вопросом, но тем не менее вы все равно пытаетесь это сделать

[Ingernirated]

Yevgeniy Kisselyov: скажи пожалуйста, уже не по сути вопроса
вроде всё последовательно и идёт, что создан скрипт, скрипт был выбран, ему присвоился текст, а после
s.parentNode.insertBefore(g, s); для чего?
часто в чужом коде замечал, особенно с картами.

[Yevgeniy Kisselyov]

Ingernirated: Добавить элемент в DOM
После какого-либо другого элемента

Answer 2

[Дмитрий Лузанов]

document.querySelector(".p").innerHTML = "<sc" + "ript>document.body.style.backgroundColor = 'white';</sc" + "ript>";

Вот так же, ну

Почему так? Потому что

+ ко всему, через innerHTML скрипты не работают. Почему? Потому что

Comments

[Ingernirated]

В инпут пихаю я значит

<sc + ript>
document.body.appendChild(document.createElement("SCRIPT").appendChild(document.createTextNode(alert('hello'))));
</sc + ript>

но на выходе всё ровно текст, как-так то?

[Дмитрий Лузанов]

Ingernirated: потому что в e.value у вас будет строка "
document.body.appendChild(document.createElement("SCRIPT").appendChild(document.createTextNode(alert('hello'))));
+ ript>"

[Дмитрий Лузанов]

А как известно, такого тега нет <scr+ipt>

Answer 3

[Stalker_RED]

Вам уже дали ссылку на описание innerHTML. Чтобы от ваших занятий безопасностью был какой-то толк лучше еще разок пройтись по основам - почитать чем отличается innerHTML, appendChild и document.write, почитать про последовательность выполнения скриптов и даже про строки перечитать, потому что ваши плюсы в строке делают не то, что вы от них хотели.

Пример с append https://jsfiddle.net/1j92wmL8/
Пример с eval https://jsfiddle.net/7wLL94om/
Пример с document.write на jsfiddle некорректно сработает.