只提思路,没有实践
waf常见的过滤标签
<script> <a> <p> <img> <body> <button> <var> <div> <iframe> <object> <input>
<textarea> <keygen> <frameset> <embed> <svg> <math> <video> <audio> <select>
可以弹窗的:alert,prompt ,confirm,base64加密,编码绕过(安全狗都没有过滤)
绕过方法
- 标签语法替换
- 特殊符号干扰(\ #)
- 提交方式更改(很少)
- 垃圾数据溢出
- 加密解密算法(编码)
自动化 XSS 工具
XSStrike
字典
fuzzDicts
XSS防御方法
开启 httponly,输入过滤,输出过滤等
PHP:http://www.zuimoge.com/212.html
JAVA:https://www.cnblogs.com/baixiansheng/p/9001522.html