xss 加html标签,可以被XSS利用的HTML标签和一些手段技巧

最新推荐文章于 2024-06-21 23:18:02 发布
最新推荐文章于 2024-06-21 23:18:02 发布
阅读量1.4k 收藏 1
点赞数
文章标签： xss 加html标签

XSS让我们在渗透中有无限的可能，只要你发挥你的想象。  引用一位前辈总结的很贴切的一句话——“XSS使整个WEB体系变得具有灵性” 。

网上关于XSS的教程数不胜数，转载来转载去的，就是那么些Payload，可能看的人晕晕的不知所以然。而且还有很多Payload就算把其中的HTML代码闭合后写在自己的前端中，都不一定触发，因为很多老的标签和事件都已经被W3C给废弃了。本文首先给大家总结一下目前通用可以拿来构造XSS的HTML标签和一些标签事件，然后再给大家讲述一些绕过的技巧，教你在么构造出属于你自己渗透时真正需要的Exp。

可以成功执行的标签

1

a标签 当点击时才会触发

%E2%80%9C#%E2%80%9C

img、video、audio标签   onclick:点击触发   onerror:当src加载不出来时触发   onload:当src加载完毕触发

iframe标签，写入后网页加载自动执行

在表单中一些标签，前三个都要点击事件触发，最后一个是得到改变内容时触发

12 a>

audio>

一些事件标签 要对应的事件发生可以触发 加上autofocus可以自动触发

目前整理出来在各个浏览器通用的就是这些 以后会持续更新 可以关注我的博客或者DX安全团队

一些绕过姿势

首先，有一些脚本小子可能还不知道什么是exp，所谓exp就是一个精心构造可以配合或者绕过WAF成功触发XSS的一段代码，网上那些一发就是一大段的Payload可能到你那里就不合适了，因为Exp是需要针对性构造的。

想要写出一个能触发

最低0.47元/天 解锁文章
渴望手绘的伪设计
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
网络攻防中黑客常用技术跨站脚本技术：DOM XSS高发场景透视及修复技巧、取值写入页面或动态执行、使用HTML5 postMessage进行跨域通讯、使用存在缺陷的第三方库或通用组件
代码讲故事
03-08 304
网络攻防中黑客常用技术跨站脚本技术：DOM XSS高发场景透视及修复技巧、取值写入页面或动态执行、使用HTML5 postMessage进行跨域通讯、使用存在缺陷的第三方库或通用组件。 DOM-Based XSS是一种基于文档对象模型(Document Object Model,DOM)的Web前端漏洞，简单来说就是JavaScript代码缺陷造成的漏洞。与普通XSS不同的是，DOM XSS是在浏览器的解析中改变页面DOM树，且恶意代码并不在返回页面源码中回显，这使我们无法通过特征匹配来检测DOM XSS
XSS漏洞的HTML和JS基础
2301_80361487的博客
01-23 644
HTML 标签的大小写无关的，例如 和 表示的意思是一样的，都代表“主体”，推荐使用小写。1.事件(Event)是JavaScript应用跳动的心脏，也是把所有东西粘在一起的胶水，当我们与浏览器中 Web页面进行某些类型的交互时，事件就发生了。 //HTML文档的元数据，机器可读，如">test //标题标签 ，位于页面最上方定义浏览器工具栏中的标题。
探索 XssHtml：全面保障你的网页安全
gitblog_00062的博客
06-13 236
???? 探索 XssHtml：全面保障你的网页安全 项目地址:https://gitcode.com/phith0n/XssHtml 项目介绍 在数字世界中遨游时，我们常常会遇到各种网络安全威胁，其中跨站脚本攻击（XSS）无疑是最常见且危害较大的一种。为了帮助开发者轻松抵御XSS攻击，提高网站安全性，Phithon 在2014年推出了一个强大的工具——XssHtml。这款由XDSEC 和 离别歌 联合...
挖洞经验 | 可以被XSS利用的HTML标签和一些手段技巧，靠挖SRC漏洞每月多赚15k
jennycisp的博客
10-26 807
*”。**网上关于XSS的教程数不胜数，转载来转载去的，就是那么些Payload，可能看的人晕晕的不知所以然。而且还有很多Payload就算把其中的HTML代码闭合后写在自己的前端中，都不一定触发，因为很多老的标签和事件都已经被W3C给废弃了。本文首先给大家总结一下目前通用可以拿来构造XSS的HTML标签和一些标签事件，然后再给大家讲述一些绕过的技巧，教你在么构造出属于你自己渗透时真正需要的Exp。
XSS编码技巧：绕过Web应用安全防护
weixin_43822401的博客
06-06 776
在Web安全领域，跨站脚本攻击（XSS）是一种常见的攻击手段。攻击者通过在Web页面中注入恶意脚本，可以盗取用户信息、会话令牌或其他敏感数据。随着Web应用安全防护措施的加强，攻击者需要掌握高级的编码技巧来绕过这些防护。本文将详细介绍几种XSS编码技巧，帮助安全专家和开发人员更好地理解和防御XSS攻击。
XSS注入原理以及一些绕过姿势
热门推荐
qq_37019068的博客
10-09 1万+
介绍 XSS——跨站脚本攻击。通过这个攻击手段，攻击者可以将恶意的 JavaScript 代码插入存在 XSS 漏洞的 Web 页面中，当用户浏览带有恶意代码的页面时，这些恶意代码会被触发，从而达到攻击的目的。可以说，XSS 是针对用户层面的攻击。 XSS的分类 通常，我们吧XSS分为三个类型，即 存储型，反射型与DOM型。不同的类型原理各有差异，而且注入的点也不同。 存储型 存储型的XSS，最大的特点是可持久化，因为在过滤条件差的情况下，存储型的XSS的恶意代码会直接被保存在服务器端的数据库中。而这个恶意
XSS漏洞—XSS平台搭建与打cookie
goldfish8848的博客
06-21 1624
6. **避免内联事件**：避免在HTML中使用内联JavaScript事件处理器，如 `onLoad="onload('{{data}}')"` 或 `onClick="go('{{action}}')"`，因为这些容易受到XSS攻击。7. **避免拼接HTML**：前端采用拼接HTML的方法比较危险，如果可能，使用 `createElement`、`setAttribute` 等方法实现，或者采用成熟的渲染框架，如Vue或React。攻击者可能会尝试使用不同的字符编码或分隔符来绕过简单的输入验证。
XSS知识总结
qq_43842093的博客
11-07 6787
XSS基础 跨站脚本（英语：Cross-site scripting，通常简称为：XSS）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。 XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java，VBScript，ActiveX，Flash或者甚至
【XSS技巧拓展】————9、XSS Bypass Cookbook
Fly_鹏程万里
01-14 886
1 引言 在目前的web安全漏洞中,xss一直属于热门的一类,而它对用户造成的危害较大。因此也引发了不少安全爱好者和专业工程师的研究。而html5等新技术的使用和具体业务场景中复杂的环境带给了xss更大的生存空间。而且不同xss向量也因为浏览器的特性会有所区别比如chrome在加载资源时会校验服务器返回的mimeType而firefox则根据标签自己设定的type来做出处理本文在目前较为常见的几...
第三节 选择列表中的XSS-01
09-15
在“第三节 选择列表中的XSS-01”中，我们将深入探讨如何利用HTML的`<select>`标签、表单、以及Burpsuite工具来检测和利用这种漏洞。 ### 1. HTML `<select>`标签介绍 `<select>`标签在HTML中用于创建下拉选择列表...
第十节 绕过过滤domain为空的XSS-01
09-15
**XSS（跨站脚本攻击）**是网络安全领域中一种...因此，对于开发者来说，了解这些攻击手段并实施严格的输入验证和输出编码是防止XSS攻击的关键。同时，持续关注Web安全训练营的课程，可以提升对这类威胁的防御能力。
XSS跨站攻击课程.pdf
01-25
- **利用HTML标签属性**：例如`(/xss/)"></table>`。 #### 五、深入理解XSS漏洞的形成 - **核心原理**：XSS攻击成功的关键在于让恶意脚本绕过Web应用的安全防护机制，在用户的浏览器中执行。 - **防范措施**：对...
filterbypass：浏览器的XSS筛选器旁路备忘单
02-06
**XSS（跨站脚本攻击）是一种常见的网络安全漏洞，主要...综上所述，Filterbypass备忘单是一个收集了各种绕过浏览器XSS筛选器的技术和策略的集合，对于安全测试人员和开发者来说，理解并防范这些攻击手段是非常重要的。
028 移动能耗管理平台_大屏幕展屏（html源码）.rar
04-28
通过分析这个压缩包中的"028 移动能耗管理平台"文件，我们可以学习到如何利用HTML5、CSS3和JavaScript等技术构建一个功能丰富的、具有视觉吸引力的能耗管理平台，同时也了解到前端开发的综合知识和实践技巧。
基于Springboot和Vue的图书借还管理系统源码 图书借还管理系统代码（高分毕设）
最新发布
07-28
图书借还管理系统源码（高分毕设），个人经导师指导并认可通过的98分毕业设计项目，主要针对计算机相关专业的正在做毕设的学生和需要项目实战练习的学习者。也可作为课程设计、期末大作业。包含全部项目源码[代码]、该项目可以直接作为毕设使用。项目技术栈：前端是vue，后端是springboot，项目代码都经过严格调试，代码没有任何bug！ 系统源码（高分毕设），个人经导师指导并认可通过的98分毕业设计项目，主要针对计算机相关专业的正在做毕设的学生和需要项目实战练习的学习者。也可作为课程设计、期末大作业。包含全部项目源码[代码]、该项目可以直接作为毕设使用。项目技术栈：前端是vue，后端是springboot，项目代码都经过严格调试，代码没有任何bug！ 系统源码（高分毕设），个人经导师指导并认可通过的98分毕业设计项目，主要针对计算机相关专业的正在做毕设的学生和需要项目实战练习的学习者。也可作为课程设计、期末大作业。包含全部项目源码[代码]、该项目可以直接作为毕设使用。项目技术栈：前端是vue，后端是springboot，项目代码都经过严格调试，代码没有任何bug！
C语言内存管理：静态与动态分配的较量
07-28
C语言是一种通用的编程语言，由丹尼斯·里奇（Dennis Ritchie）在20世纪70年代早期于美国电话电报公司（AT&T）的贝尔实验室开发。C语言以其高效性、灵活性和可移植性而闻名，它是一种过程式编程语言，提供了对底层硬件的直接访问能力。 C语言的特点包括： 1. **简洁高效**：C语言的语法简洁，执行效率高，适合编写系统软件。 2. **接近硬件**：C语言提供了对内存地址和位操作的直接控制，使其非常适合硬件级编程。 3. **可移植性**：C语言编写的程序可以在不同的操作系统和硬件平台上编译和运行，具有很好的可移植性。 4. **丰富的库支持**：C语言拥有大量的标准库，如标准输入输出库（stdio.h）、数学库（math.h）等。 5. **结构化编程**：C语言支持结构化编程，允许使用循环、条件判断和函数等控制结构。 6. **指针**：C语言的指针功能强大，可以操作内存地址，实现复杂的数据结构和算法。 7. **编译型语言**：C语言是一种编译型语言，源代码需要通过编译器转换成机器码才能运行。 C语言广泛应用于操作系统（如Unix和Linux）、嵌入式系统、高性能
通讯协议规范-命令包格式
07-28
提供一份通讯协议规范，包含命令包、格式等，在上下位机调试的时候可参考该文档，制定对应的通讯协议。
XSS漏洞会在HTML标签中输出吗
06-10
是的，XSS漏洞可以在HTML标签中输出恶意脚本，从而对网站的安全...具体来说，可以使用一些开源的XSS过滤器库，如OWASP ESAPI、HTML Purifier等，或者自己编写过滤函数，对用户输入进行过滤和转义，以保证网站的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值