Как делают XSS через адрес изображения?

Question

[Антон Шульц]

В видео о защите от XSS был пример с названием изображения, что если его назвать javascript:alert(),
то при загрузке сайта из бд он выдаст src="javascript:alert()" и сработает js вместо картинки.

Почему у меня этот пример не работает?
Просто пишу в html коде сразу

<img src="javascript:alert('helloworld')">

и ничего не происходит

Comments

[Aetae]

Можешь назвать " onerror="alert('helloworld')", если защиты нет.

[Антон Шульц]

Aetae, а откдуда вообще может возникнуть onerror в картинке и тем более ещё старонний скрипт?
просто такой пример тоже озвучивали.
но всё ровно не работает

[Aetae]

Раз не работает, значит закрыто.)

Answer 1

[Boris Köln]

Браузеры очень давно пофиксили эту уязвимость. Если необходимо воспроизвести - пользуйтесь IE 6 или аналогичным.