【安全】P 4-16 利用CSS特性绕过XSS过滤

0X01 XSS漏洞发现

构造特殊无害字符串，响应中寻找字符串。

0X02 基本XSS利用

1、HTML事件触发XSS

2、闭合input，利用外部标签触发XSS

0X03 CSS特性讲解

background:url("javascript:alert(document.domain);"); 

设置背景颜色
设置background:url ，利用javascript伪协议执行js。 目前IE浏览器支持，其他浏览器已经不再支持

0X04 Payload触发XSS

Payload:

 background-color:#f00;background:url("javascript:alert(document.domain);");

使用的软件是IETester
IETester是一个免费的Web浏览器调试工具,可以模拟出不同的js引擎来帮助程序员设计效果统一的代码.IETester可以在独立的标签页中开启IE5.5、IE6、IE7以及最I新的IE8 beta2这4个不同版本的IE。

----E-----N-----D-----
😄如有问题，请各位师傅斧正，你的支持是我最大的动力。