xss的绕过

已于 2022-07-29 19:35:21 修改
阅读量764 收藏 1
点赞数
文章标签： xss 前端 javascript
于 2022-07-29 19:30:09 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Miracle_ze/article/details/126057504
版权
本文详细介绍了在xss.haozi.me网站上进行的XSS绕过实践，包括闭合标签、textarea内的处理、实体编码、注释方法等多种策略。通过不同场景的实例，演示如何在各种限制下实现弹窗效果，例如使用img和svg标签、换行、@的分割作用、Unicode编码等，展示了XSS攻防中的技巧和策略。
摘要由CSDN通过智能技术生成

本次绕过在网站xss.haozi.me进行的绕过 练习网站
输出弹出就成功

0x00：闭合标签

在这里插入图片描述

本题很简单只需要闭合标签，并输入弹窗标签

</div><script>alert(1)</script><div>

在这里插入图片描述

0x01:闭合标签，textarea内元素为文本元素

在这里插入图片描述

本题很简单只需要闭合标签，并输入弹窗标签。不能在textarea标签直接写。因为编码无法识别因为会使他识别为文本

</textarea><script>alert(1)</script><texarea>

在这里插入图片描述

0x02：闭合引号

在这里插入图片描述

题目我们输入的内容在value里面，为此我们要跳出来，再输入弹窗语句。因此我们要先闭合双引号再写弹窗语句。

aa" ><script>alert(1)</script>

在这里插入图片描述

最低0.47元/天 解锁文章
Miracle_ze
关注
xss绕过html实体化,通过脚本片段绕过XSS防御
weixin_42386511的博客
06-07 1778
原标题：通过脚本片段绕过XSS防御 从恶作剧弹框到盲打后台乃至沦陷一个企业，XSS的危害可大可小，近年来，XSS攻击与防御的博弈持续不断，下面是今年5月份北爱尔兰首府举行的OWASP AppSec EU的安全议题：通过脚本片段绕过XSS防御。一、XSS 防御措施尽管业界付出了很多努力，XSS依然是一个广泛且未解决的问题。有数据指出：谷歌VRP中70%的漏洞是XSS漏洞。XSS防御技术的通用假设为：...
XSS编码问题以及绕过
热门推荐
我不是大牛
07-04 1万+
常用的编码 URL编码：一个百分号和该字符的ASCII编码所对应的2位十六进制数字。 例如“/”的URL编码为%2F # ： %23 ; . ：%2e ； + :%2b；< :%3c >: %3e ; ! :%21 ; 空格：%20; &: %26; (:%28; ): %29，”:%22,’:%27 常用的编码 HTML实体编码：以&开头，分号结尾的。 例如“<...
记一次XSS攻击绕过
zkaqlaoniao的博客
10-27 766
最近一直在看国外的赏金平台，绕waf是真的难受, 记录一下绕过的场景。
XSS绕过方式
最新发布
weixin_66022252的博客
08-31 465
XSS（跨站脚本攻击）绕过方式多种多样，主要依赖于攻击者如何巧妙地绕过目标网站的安全措施。
【漏洞发现-xss跨站脚本攻击】实体编码绕过
m0_46344990的博客
05-28 3203
一、漏洞描述 xss跨站脚本攻击是黑客通过“html注入”篡改了网页，插入了js恶意脚本，前端渲染时进行恶意代码执行，从而控制用户浏览的一种攻击。经常出现在需要用户输入的地方，一旦对输入不进行处理，就会发生网页被篡改。 分为三类 反射型：经过后端，不经过数据库 存储型：经过后端，经过数据库 DOM型：不经过后端，是基于文档对象型的一种漏洞，dom-xss是通过url参数去控制触发的 xss靶场第八关服务器采用了替换恶意关键字的方式防御，对输入进行小写转化，可以使用实体编码绕过服务器检测，当传回浏
XSS攻击绕过方法大全，XSS攻击技巧，收集100种绕过方法分享（2024最新）
白帽黑客八哥的博客
12-12 7532
尽管许多网站实施了输入过滤措施来防止跨站脚本（XSS）攻击，但在特定条件下，经过精心编码的脚本仍有可能实施XSS注入。本文旨在为专业的安全测试人员提供一个跨站脚本漏洞的检测指南。
xss绕过方法
sinri的博客
01-30 4238
xss绕过方法 1.改变大小写 将大小写穿插编写 <script>alert(“xss”);</script> 可以转换为： <ScRipt>ALeRt(“XSS”);</sCRipT> 2.关闭标签 利用大于号>关闭标签使得xss生效 ><script>alert(“Hi”);</script> 3.利用html标签触发事件 很多标签都可以对过滤进行绕过 格式：< 标签 事件 = 执行语句 例如： <p
XSSBypass:XSS绕过技术
05-17
**XSS（跨站脚本攻击）Bypass：探索XSS绕过技术** XSS（Cross-Site Scripting）是一种常见的网络安全漏洞，它允许攻击者在用户的浏览器中注入恶意脚本，进而执行非授权的操作。当Web应用程序未能充分地验证和转义...
记录几种XSS绕过方式1
08-03
本文主要记录了几种XSS绕过的方法，帮助开发者理解攻击者可能使用的技巧，提高网站的安全性。 1. 服务端全局替换为空的特性： 当网站的过滤机制将某些特定字符如"onerror"或"script"替换为空时，攻击者可以利用...
xss绕过字符过滤_XSS绕过实战练习
weixin_39640203的博客
12-21 785
前言写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。level1未进行过滤，直接输入payloadpayload:alert(/xss/)level2发现对html特殊符号进行了实体编码，失效，但是发现下面input标签里还有一个输出点，可...
XSS绕过
weixin_42393944的博客
08-10 550
一.过滤 1.通过大小写混合的方式（有些后台只过滤小写）=> <ScRipt>alert(1111)</ScriPt> 2.修改前端代码（安全措施不可用前端，形同虚设）==>譬如最简单的长度限制，只要修改length就可 3.拼凑 ==> <scri<script>pt>alert(1111)</scr</script>ipt> ===>后台只会过滤一次，所以外面分散的可以拼凑而成 ...
XSS练习---一次循环和两次循环问题
qq_52016943的博客
08-02 324
XSS
xss绕过方法有哪些？XSS攻击绕过过滤方法技巧分享（xss绕过宝塔）
白帽子佳奇的博客
12-12 5483
XSS（跨站脚本攻击）绕过方法是一系列技巧，用来绕过目标网站的安全措施和过滤器，执行恶意的脚本。
XSS常见的绕过手法
Redredredfish的博客
12-07 1万+
XSS常见的绕过手法 大小写绕过 HTML对标签大小写不敏感，可以利用大小写混用绕过 例如：<script>改为<ScRiPt> 双写绕过 有些情况的规则会将黑名单标签替换为空，可以利用这一点构造标签 例如：<script>改为<scr<script>ipt> 同理某些注释符在规则中也会替换为空，这时候可以利用它构造payload 例如：<script>改为<scr<!---test--->ipt> 开口标签 在
xss编码绕过详解（更像是在介绍实体编码和JS编码的解析过程）
qq_41631096的博客
03-09 4464
xss编码绕过详解（更像是在介绍实体编码和JS编码的解析过程） 注：本文通过研究各种情况下实体编码和JS编码是否生效，进而总结了哪些情况下能够进行编码后，javascript代码依然能够正常执行。 解析顺序是这样的，URL 解析器，HTML 解析器， CSS 解析器，JS解析器 URL的解码是在后台服务检测之前的，可以理解为后台收到URL后会自动进行解码， 然后才是执行开发人员编写的对URL中的值...
XSS绕过实战练习
weixin_50464560的博客
05-07 912
XSS绕过实战练习 前言 写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。 level1 未进行过滤，直接输入payloadpayload:<script>alert(/xss/)</script> level2 发现对html特殊符号进行了实体编码，<script&g...
xss实体绕过示例
weixin_41082546的博客
11-13 2219
知识点： 倘若是在script、input标签当中，即可突破。 Payload ‘ oninput=alert`1` // 当要在input中输入内容时触发事件 ‘ oninput=alert`1` ‘ 同上 ‘ onchange=alert`1` // 发生改变的时候触发该事件 ‘ onchange=alert`1` ‘ 同上 在script里直接alert 示例： 首选...
xss攻击突破转义_WEB安全之XSS攻击方式与防御方式
weixin_39520393的博客
11-21 898
上一期给大家简单介绍XSS以及其操作，本期将带大家了解XSS比较常见的攻击方式与防御方式，一起去了解一下~XSS 常见攻击方法1、绕过 XSS-Filter，利用 <> 标签注入 Html/JavaScript 代码；2、利用 HTML 标签的属性值进行 XSS 攻击。例如：<img src=“javascript:alert(‘xss’)”/>；（当然并不是所有的 Web...
XSS绕过方式有哪些
10-27
以下是一些XSS绕过方式： 1. HTML编码绕过：攻击者可以使用HTML编码来绕过过滤器，例如使用<代替<，使用>代替>等。 2. JavaScript编码绕过：攻击者可以使用JavaScript编码来绕过过滤器，例如使用%3C代替<，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值