第28天-WEB 漏洞-XSS 跨站之 WAF 绕过及安全修复

IsecNoob

已于 2022-03-14 20:24:27 修改

阅读量1.3k

点赞数 1

分类专栏： 2020小迪安全—渗透测试学习笔记文章标签：安全前端 xss

于 2022-03-13 18:29:15 首次发布

本文链接：https://blog.csdn.net/MCTSOG/article/details/123463582

版权

2020小迪安全—渗透测试学习笔记专栏收录该内容

78 篇文章 203 订阅

订阅专栏

本文介绍了XSS攻击的常规绕过WAF的方法，包括特殊符号干扰、标签语法替换、提交方式更改等，并提到了自动化工具XSStrike的特性与用法。同时，讨论了安全修复方案，如开启HTTPOnly和过滤机制，并提供了PHP和JAVA的示例。此外，还分享了多个XSS练习平台和测试工具，强调了跨站安全的重要性。

摘要由CSDN通过智能技术生成

前言

看视频，没啥写的！水！

在这里插入图片描述

常规 WAF 绕过思路

特殊符号干扰

<sCript Src= 'http://' 
 <sCript Src= 'http://' #>

标签语法替换
提交方式更改
垃圾数据溢出
加密解密算法
结合其他漏洞绕过

自动化工具说明

https://github.com/s0md3v/XSStrike

XSStrike 主要特点反射和 DOM XSS 扫描
多线程爬虫
Context 分析
可配置的核心
检测和规避 WAF
老旧的 JS 库扫描
智能 payload 生成器
手工制作的 HTML & JavaScript 解析器
强大的 fuzzing 引擎
盲打 XSS 支持
高效的工作流
完整的 HTTP 支持
Bruteforce payloads 支持
Payload 编码
-h, --help //显示帮助信息
-u, --url //指定目标 URL
–data //POST 方式提交内容
-v, --verbose //详细输出
-f, --file //加载自定义 paload 字典
-t, --threads //定义线程数
-l, --level //爬行深度
-t, --encode //定义 payload 编码方式
–json //将 POST 数据视为 JSON
–path //测试 URL 路径组件
–seeds //从文件中测试、抓取 URL
–fuzzer //测试过滤器和 Web 应用程序防火墙。
–update //更新
–timeout //设置超时时间
–params //指定参数
–crawl //爬行
–proxy //使用代理
–blind //盲测试
–skip //跳过确认提示
–skip-dom //跳过 DOM 扫描
–headers //提供 HTTP 标头
-d, --delay //设置延迟