繞過XSS過濾規則

發布時間：2020-10-10 07:18:22 來源：網絡閱讀：840 作者：屋脊之上欄目：安全技術

相信大家在做***測試的時候都有過這樣的經歷，明明一個XSS的漏洞，但是卻有XSS過濾規則或者WAF保護導致我們不能成功利用，比如我們輸入<scirpt>alert("hi")</script>，會被轉換為<script>alert(>xss detected<)</script>，這樣的話我們的XSS就不生效了，下面就教大家幾種簡單的繞過XSS的方法：

1、繞過 magic_quotes_gpc

magic_quotes_gpc=ON是php中的安全設置，開啟后會把一些特殊字符進行輪換，比如'(單引號)轉換為\'，"(雙引號)轉換為\" ，\轉換為\\

比如：<script>alert("xss");</script>會轉換為<script>alert(\"xss\");</script>,這樣我們的xss就不生效了。

針對開啟了magic_quotes_gpc的網站，我們可以通過javascript中的String.fromCharCode方法來繞過，我們可以把alert("XSS");轉換為

String.fromCharCode(97, 108, 101, 114, 116, 40, 34, 88, 83, 83, 34, 41)那么我們的XSS語句就變成了

String.fromCharCode()是javascript中的字符串方法，用來把ASCII轉換為字符串。

如何轉換ASCII碼呢？

我們可以使用 hackbar 來搞定，Firefox的擴展工具https://addons.mozilla.org/en-US/firefox/addon/hackbar/

最后使用<script>轉換后的放到這里</script>包含即可。

2、HEX編碼

我們可以對我們的語句進行hex編碼來繞過XSS規則。

比如：<script>alert("xss");</script> 可以轉換為：

%3c%73%63%72%69%70%74%3e%61%6c%65%72%74%28%22%78%73%73%22%29%3b%3c%2f%73%63%72%69%70%74%3e

在線工具：

http://textmechanic.com/ASCII-Hex-Unicode-Base64-Converter.html

http://www.asciitohex.com/

3、改變大小寫

在測試過程中，我們可以改變測試語句的大小寫來繞過XSS規則

比如：<script>alert("xss");</script> 可以轉換為：

<ScRipt>ALeRt("XSS");</sCRipT>

4、關閉標簽

有時我們需要關閉標簽來使我們的XSS生效，如：

"><script>alert("Hi");</script>

向AI問一下細節

中文字幕av专区_日韩电影在线播放_精品国产精品久久一区免费式_av在线免费观看网站

繞過XSS過濾規則

猜你喜歡

中文字幕av专区_日韩电影在线播放_精品国产精品久久一区免费式_av在线免费观看网站

繞過XSS過濾規則

猜你喜歡

最新資訊

相關推薦

相關標簽