xss-payload-list

Introduction

⭐ Mettez-nous une étoile sur GitHub — cela nous motive beaucoup ! ⭐

Si vous avez une payload XSS, créez simplement une PullRequest.

Write-Ups / Tutoriels

https://portswigger.net/web-security/cross-site-scripting/cheat-sheet https://medium.com/p/92ac1180e0d0 https://book.hacktricks.xyz/pentesting-web/xss-cross-site-scripting

Mon polyglot préféré

jaVasCript:/*--></title></style></textarea></script></xmp><svg/onload='+/"/+/onmouseover=1/+/[*/[]/+alert(1)//'>
"'alert(1)

Todos

• Payloads XSS pour les champs url
• Payloads XSS pour onfocus
• Payloads XSS pour title
• Payloads XSS sans alert
• Payloads XSS pour base64
• Payloads XSS sans balise script
• Payloads XSS pour les champs javascript
• Payloads XSS pour les champs numériques
• Payloads XSS pour a href
• Payloads XSS pour markdown
• XSS pour anker
• XSS pour open-redirect
• contournement de cloudflare

Descriptions des fichiers

• XSS-polyglot.txt Un polyglot JavaScript est un vecteur de Cross Site Scripting (XSS) qui est exécutable dans divers contextes d'injection sous sa forme brute, ou un morceau de code qui peut être exécuté dans plusieurs contextes au sein de l'application.

Règles

Règles pour trouver des XSS

1 : injecter du HTML inoffensif ,

2 : injecter des entités HTML

<b> \u003b\u00

3 : injecter une balise Script

4 : tester les filtres récursifs

5 : injecter une balise Anchor

6 : tester les gestionnaires d'événements

7 : saisir des gestionnaires d'événements moins courants

8 : tester avec l'attribut SRC

9 : tester avec l'attribut Action

10 : injecter une payload basée sur HTML 5

Rapports

• https://hackerone.com/reports/1342009
• https://hackerone.com/reports/1416672
• https://hackerone.com/reports/1527284
• https://hackerone.com/reports/1683129
• https://hackerone.com/reports/834071

Avertissement : NE SOYEZ PAS UN IDIOT !

Inutile de le préciser, veuillez utiliser cet outil avec la plus grande prudence. Les auteurs ne seront pas responsables des conséquences.