本文探讨了WAF常见的HTML标签过滤，列举了可以触发弹窗的JavaScript函数，并分享了XSS攻击的绕过技巧，如标签语法替换、特殊符号干扰和加密解密算法。同时，介绍了自动化XSS工具如XSStrike，以及XSS防御措施，如开启HTTPOnly和使用输入、输出过滤。此外，还提供了PHP和JAVA的XSS防护资源链接。
只提思路，没有实践
waf常见的过滤标签
<script> <a> <p> <img> <body> <button> <var> <div> <iframe> <object> <input>
<textarea> <keygen> <frameset> <embed> <svg> <math> <video> <audio> <select>
可以弹窗的：alert，prompt ，confirm，base64加密，编码绕过（安全狗都没有过滤）
绕过方法
- 标签语法替换
- 特殊符号干扰(\ #)
- 提交方式更改（很少）
- 垃圾数据溢出
- 加密解密算法（编码）
自动化 XSS 工具
XSStrike
字典
fuzzDicts
XSS防御方法
开启 httponly,输入过滤，输出过滤等
PHP:http://www.zuimoge.com/212.html
JAVA:https://www.cnblogs.com/baixiansheng/p/9001522.html
扫一扫
390
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
