【安全】P 4-24 XSS过滤器绕过

最新推荐文章于 2025-03-02 18:46:44 发布
原创 最新推荐文章于 2025-03-02 18:46:44 发布 · 246 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络安全 #信息安全 #渗透测试

本文探讨了如何在本地搭建XSS防护环境，通过Kalilinux字典测试payload，利用Burpsuite进行自动化探测，并关注HTML5新特性。涵盖了从基础环境配置到最新技术趋势的全面内容。

目录

0X01 本地环境搭建

在Web程序中找到过滤的函数，然后拷贝到本地环境,搭建完成。
用到之前写过的xss_clean
在这里插入图片描述

0X02 XSS payload测试

kali linux下自带字典，在CTF比赛中经常使用。
在这里插入图片描述

0X03 自动化工具测试

使用Burpsuite进行自动化探测。
在这里插入图片描述

0X04 关注最新HTML等内容

例如HTML5中新标签


参考：https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

XSS过滤绕过总结_xss绕过字符过滤
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
08-29 2101
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java，VBScript，ActiveX，Flash或者甚至是普通的HTML。攻击成功后，攻击者可能得到更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。...
XSS攻击绕过方法以及绕过waf方法语句大全 XSS攻击语句这一篇足够
热门推荐
盾悟
12-31 1万+
1. 使用HTML实体编码 2. 大小写混合 3. 利用JavaScript事件 4. 利用URL编码 5. 使用不完整的HTML标签 6. 利用编码绕过 7. 使用不寻常的标签 8. 利用CDATA 9. 利用注释 10. 使用文档对象模型（DOM） 11. 利用HTML5功能 12. 使用特殊字符 13. 利用外部脚本 14. 使用IFrame 15. 利用CSS注入 16. 使用数据URI 17. 利用SVG 18. 使用Base64编码 19. 利用JavaScr
利用File类过滤器列出目录下的指定目录或文件
weixin_30481087的博客
10-09 275
需求：列出d盘下的全部txt文件 实现方法：利用File类的过滤器功能 package com.test.common.util; import java.io.File; import java.io.FilenameFilter; public class ReadFileFilter { /* * 读取指定路径下的文件名.txt文件 ...
XSS攻击的简单过滤和绕过
caoxinjian423的博客
09-02 3593
一、常见的XSS攻击脚本 弹窗警告 <script>alert('XSS')</script> <script>alert(document.cookie)</script> 页面嵌套 <iframe> src=http://www.baidu.comwidth=10 height=10 border=10 </iframe> 重定向 <script>window.location="http://www.b.
xss绕过字符过滤_XSS 过滤器绕过指南
weixin_39861734的博客
12-21 445
XSS 过滤器绕过指南黑盒视角下如何反向推理 XSS 过滤器后端的正则表达式绕过 xss 检测机制 (翻译)https://www.cnblogs.com/xsserhaha/p/10743671.html?from=timeline原文https://github.com/s0md3v/MyPapers/tree/master/Bypassing-XSS-detection-mechanisms...
【安全】P 4-16 利用CSS特性绕过XSS过滤
Z_David_Z的博客
02-20 238
0X01 XSS漏洞发现 构造特殊无害字符串，响应中寻找字符串。 0X02 基本XSS利用 1、HTML事件触发XSS 2、闭合input，利用外部标签触发XSS 0X03 CSS特性讲解 background:url("javascript:alert(document.domain);"); 设置背景颜色 设置background:url ，利用javascript伪协议执行js。 目前IE浏览器支持，其他浏览器已经不再支持 0X04 Payload触发XSS Payload: back
xss的过滤和绕过（2）
2402_87039650的博客
11-09 3089
常见的过滤方式是用户输入的标签进行限制，如果采用黑名单的方式，我们可以寻找黑名单中遗漏的标签，在https://portswigger.net/web-security/cross-site-scripting/cheat-sheet这个表中列举了大量的可以用于执行JavaScript的标签和属性，并给出了适用于哪些浏览器。如果没有过滤"<"和">",可以直接引入新的标签，如果尖括号被过滤，可以插入新的事件属性，比如onload,onmousemove等。CSP被设计成完全向后兼容。
绕过XSS过滤姿势总结
wyb17870531028的博客
03-02 1562
click me</a> //a标签伪协议执行base64,这里跟着base64之后的js代码">click here
绕过 Web 应用程序中的 XSS 过滤器
allway2的博客
07-24 611
规避跨站脚本 (XSS) 漏洞的两种主要技术是 XSS 过滤和 XSS 转义。然而，XSS 过滤是不可取的，因为它通常可以利用巧妙的策略来规避。在本教程中，我们将说明黑客可能在其恶意代码中利用的一些技术，以轻松绕过 Web 应用程序中的 XSS 过滤器。XSS 过滤器通过定位可部署为跨站点脚本攻击向量的普通模式并从用户输入数据中删除此类代码片段来运行。最常使用正则表达式发现模式。这是非常困难的，因为可以表示跨站点脚本有效负载的模式也可以作为网页内容合法部署。因此，过滤器应该能够避免误报。此外，Firefox
xss绕过字符过滤_绕过XSS过滤姿势总结
weixin_39826080的博客
12-21 1026
0x00 XSS基本测试流程原则是“见框就插”，多动手，这里分享几个经典测试payload：">具体引用外部js的代码姿势是:在火狐浏览器下查看的效果(浏览器解析时会自动加上引号):click me //a标签伪协议执行click here //data引用外域资源外域获取cookie,据我所知只有火狐才可以了，这里涉及同源策略相关知识。具体情况还需要具体分析，一定...
pikachu靶场-xss之过滤绕过
qq_65240014的博客
09-16 343
a肯定行不通中间的关键字都会被过滤。有意思的事情发生了，输入的alert(/xss/)只剩下了 >，说明script和alert相关的关键字都被过滤掉了，替换成空字符，并且剩下的>也被实体化了。则我们可以构造语句a
安全测试之XSS绕过姿势总结
1、测试博主技术知识分享 2、pos行业知识技术分享 3、java后端技术知识分享 4、嵌入式技术知识分享 5、运维部署相关知识分享
06-15 610
xss test
xss跨站之waf绕过及安全修复（28）
san3144393495的博客
05-28 2124
然后访问还是正常的，这个就是特殊符号干扰方法，常见的就是#，因为#在web里面是注释的，他是通用的，特符都可以用来干扰，有一些符号就是截断或者注释的做用，代码去匹配一些关键字的时候，防止他匹配的后面或者前面的关键字，来绕过。因为xss，他的执行效果可以由多个代码实现，就是用到其他的函数，功能来替换，在跨站中想实现那种功能，也是可以应用到不同的操作语句去实现同一个目的，比如下面这串代码，取得的功能是一样的，去掉最后字符串，访问还是拦截，再去掉alert（1），访问还是拦截，再去掉尖括号里面一个字符。
【安全】P 6 文件上传漏洞（手工+工具）绕过合集
Z_David_Z的博客
02-27 3793
目录0X01 绕过JS验证JS验证代码分析Burpsuite剔除响应JS浏览器审计工具剔除JS上传Webshell,菜刀连接0X02 绕过MIME-Type验证MIME-Type介绍验证MIME-Type代码分析Burpsuite绕过MIME-Type验证菜刀连接 虚拟终端功能0X03 绕过黑名单验证基于文件后缀名验证介绍基于黑名单验证代码分析Burpsuite绕过黑名单验证上传webshell菜刀连接0X04 绕过黑名单验证（.htaccess）.htaccess文件介绍配置文件http.conf审计黑名
【安全】P 5-6 GET型CSRF漏洞利用方法
Z_David_Z的博客
02-23 2144
目录0X01 链接利用0X02 iframe利用0X03 img标签利用0X04 CSS-backgroud利用 0X01 链接利用 在html中，a标签代表链接，可以将当前的”焦点” 指引到其他位置。 移动的“焦点”需要发送对应的请求到链接指向的地址，然后返回响应。 <a href = “请求地址，会被http 请求到的位置，可以携带GET型参数”> 内容 </a> <a href = “http://127.0.0.1/csrf_test/get_csrf/new_user
【安全】一次渗透测试完整流程
Z_David_Z的博客
01-13 2134
渗透测试完整流程前言渗透测试与入侵的最大区别常规渗透测试流程0x01 明确目标0x02 信息收集0x03 漏洞探测0x04 漏洞验证0x05 信息分析0x06 获取所需0x07 信息整理0x08 形成报告思维导图 前言 ==WEB安全渗透测试不是随便拿个工具扫一下就可以做的，要了解业务还需要给出解决方案。 == 渗透测试与入侵的最大区别 渗透测试：出于保护系统的目的，更全面地找出测试对象的安全隐患。 入侵：不择手段地（甚至具有破坏性的）拿到系统权限。 常规渗透测试流程 明确目标—>信息收集—>漏
计算机体系结构（简记）
Z_David_Z的博客
10-27 1765
复杂指令集(Complex Instruction Set Computer):每个指令做复杂动作，完成操作需要较少指令，庞大。各种编程语言开发的软件项目：Java、PHP、C、Python、Ruby、Go…客户端：迅雷、QQ、百度网盘、腾讯课堂、网易云音乐、游戏客户端、腾讯视频.…常见的手机处理器：高通骁龙系列、苹果A系列、海思、麒麟系列、联发科天玑系列。3.5寸机械盘、2.5寸机械盘、2.5寸SATA固态盘、M.2固态盘。输入设备：键盘、鼠标、麦克风、摄像头、扫描仪、数位板、游戏手柄等等；
【安全】P 7-1 SSRF漏洞原理介绍
Z_David_Z的博客
02-28 1355
目录0X01 SSRF漏洞定义0X02 SSRF漏洞原理0X03 SSRF漏洞代码分析0X04 SSRF漏洞利用 0X01 SSRF漏洞定义 SSRF（server-site request forery，服务端请求伪造）是一种构造请求，由服务端发起请求的安全漏洞。 一般情况下，SSRF的目标就是与外部隔离的内网资源。 0X02 SSRF漏洞原理 SSRF形成原因：服务端提供了从其他服务器获取数据的功能，但没有对内网目标地址做过滤与限制。 主要方式： 1、对外网、服务器所在内网、本地进行端口扫描，获取Ba
Linux操作系统介绍(简记)
Z_David_Z的博客
10-27 1166
1、使用网络的程序，都有一个服务器；2、服务器，大部分使用的是Liux操作系统。
绕过过滤的原理已经利用手段
最新发布
09-03
我们正在讨论的是绕过过滤的原理和利用手段，特别是在Web安全领域，比如模板注入（SSTI）、SQL注入、XSS等场景中常见的绕过过滤技术。用户之前提到了一个Jinja2模板的例子，所以我们可以从模板注入的绕过开始，然后...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值