xss-payload-list

Introducción

⭐ Danos una estrella en GitHub — ¡nos motiva mucho! ⭐

Si tienes algún payload XSS, simplemente crea un PullRequest.

Write-Ups / Tutoriales

https://portswigger.net/web-security/cross-site-scripting/cheat-sheet https://medium.com/p/92ac1180e0d0 https://book.hacktricks.xyz/pentesting-web/xss-cross-site-scripting

Mi polyglot favorito

jaVasCript:/*--></title></style></textarea></script></xmp><svg/onload='+/"/+/onmouseover=1/+/[*/[]/+alert(1)//'>
"'alert(1)

Tareas pendientes

• Payloads XSS para campos de url
• Payloads XSS para onfocus
• Payloads XSS para title
• Payloads XSS sin alert
• Payloads XSS para base64
• Payloads XSS sin etiqueta script
• Payloads XSS para campos javascript
• Payloads XSS para campos numéricos
• Payloads XSS para a href
• Payloads XSS para markdown
• XSS para anker
• XSS para open-redirect
• bypass de cloudflare

Descripción de los archivos

• XSS-polyglot.txt Un Polyglot de JavaScript es un vector de Cross Site Scripting (XSS) que es ejecutable dentro de varios contextos de inyección en su forma original, o un fragmento de código que puede ejecutarse en múltiples contextos en la aplicación.

Reglas

Reglas para encontrar XSS

1: inyectar HTML inofensivo ,

2: inyectar entidades HTML

<b> \u003b\u00

3: inyectar etiqueta Script

4: probar filtros recursivos

5: inyectar etiqueta Anchor

6: probar manejadores de eventos

7: introducir manejadores de eventos menos comunes

8: probar con el atributo SRC

9: probar con el atributo Action

10: inyectar payload basado en HTML 5

Reportes

• https://hackerone.com/reports/1342009
• https://hackerone.com/reports/1416672
• https://hackerone.com/reports/1527284
• https://hackerone.com/reports/1683129
• https://hackerone.com/reports/834071

Aviso legal: ¡NO SEAS UN IDIOTA!

No hace falta decirlo, por favor usa esta herramienta con muchísimo cuidado. Los autores no serán responsables de ninguna consecuencia.