HTML5去掉了众多 过期的标签，例如
HTML5引入的新标签包含、、、、
下面我们要讲到便是这些 要害载体 。它同意 缔造XSS的变种而且 可以绕过现有的XSS过滤器 。
首先来看一个标签：
<video><sourceonerrorsourceonerrorsourceonerrorsourceonerror="javascript:alert(1)“>
它 使用了一个source标签，而没有指定具体的src，所以后面的onerror 步骤会马上得到执行 。
下面是video的poster属性，它链接到一个图像，是指当视频未响应或缓冲缺乏时，显示的占位符 。
<videopostervideopostervideopostervideoposter=”javascript:alert(1)”>
另外还有HTML5新引入的autofocus和formaction属性，autofocus会让元素自动的猎取焦点，而formaction属性能 遮蔽 form 元素的action 属性 。
[html] view plaincopyprint? 01.<inputautofocus onfocus=“alert(1)”> 02.<form><buttonformactionbuttonformactionbuttonformactionbuttonformaction="javascript:alert(1)">
在这个 名目里存在消费者输入的地方，我们 固然已经针对旧有的标签以及属性进行了过滤和 荡涤，然而还会存在新标签 突击的 漏洞， 突击者利用上面的示例 模式就 可以对系统进行XSS注入 突击 。例如 突击者输入http://www.yujie.com/1.php?text=时就能马上运行 突击脚本 。
我们对此 突击的防备 模式是，对前端或者后端的过滤器进行优化，增加过滤 规定或者黑名单 。
