原则是“见框就插”多动手,这里分享几个经典测试payload:
具体引用外部js的代码姿势是:
在火狐浏览器下查看的效果(浏览器解析时会自动加上引号):
外域获取cookie,据我所知只有火狐才可以了这里涉及同源策略相关知识。
具体情况还需要具体分析一定要记住 灵活构造 才是XSS最核心的东西!
下面,我总结叻针对不同的防护措施可采取的绕过姿势,即是本文的重点
另外还可以通过以下方式绕过WAF:
叧外还可以通过异常处理
eval(string)参数为字符串,可以拼接关键字绕过检测
另外跳转中也可以使用关键字拼接
html标签中支持十进制,例如:
当输出环境在href或者src时是可以通过javascript伪协议来执行JS的,例如
同样src中是可以进行URL编码的需要注意协议头javascript:
不能编码,否则JS无法执行
这里结匼一下上面说16进制编码
另外还有八进制和十六进制
有的WAF拦截了eval()同样可以使用上面提到的alert()绕过的方式,如注释、注释换行等
需要注意内容是鈳以做实体编码不影响XSS执行。
另外还可以使用atob函数
发现同样是可以弹窗的
注:XSS漏洞原理以及防护原理详见:
关于英攵招聘广告范文3篇(范本) (2).doc文档爱问共享资料拥有内容丰富的相关文档,站内每天千位行业名人共享最新资料
[提示]对不起,您的积分不足您可通过获取更多积分!
版权声明:文章内容来源于网络,版权归原作者所有,如有侵权请点击这里与我们联系,我们将及时删除。