xss-payload-list

소개

⭐ GitHub에서 별을 눌러주세요 — 큰 힘이 됩니다! ⭐

XSS 페이로드가 있다면 PullRequest를 생성해 주세요.

라이트업 / 튜토리얼

https://portswigger.net/web-security/cross-site-scripting/cheat-sheet https://medium.com/p/92ac1180e0d0 https://book.hacktricks.xyz/pentesting-web/xss-cross-site-scripting

내가 사랑하는 폴리글롯

jaVasCript:/*--></title></style></textarea></script></xmp><svg/onload='+/"/+/onmouseover=1/+/[*/[]/+alert(1)//'>
"'alert(1)

할 일

• url 필드용 XSS 페이로드
• onfocus용 XSS 페이로드
• title용 XSS 페이로드
• alert 없는 XSS 페이로드
• base64용 XSS 페이로드
• script 태그 없는 XSS 페이로드
• javascript 필드용 XSS 페이로드
• number 필드용 XSS 페이로드
• a href용 XSS 페이로드
• markdown용 XSS 페이로드
• anker용 XSS
• open-redirect용 XSS
• cloudflare 우회

파일 설명

• XSS-polyglot.txt JavaScript 폴리글롯은 원시 형태로 다양한 주입 컨텍스트 내에서 실행 가능한 XSS(Cross Site Scripting) 벡터이거나, 애플리케이션의 여러 컨텍스트에서 실행될 수 있는 코드 조각입니다.

규칙

XSS를 찾기 위한 규칙

1: 무해한 HTML 주입 ,

2: HTML 엔티티 주입

<b> \u003b\u00

3 :스크립트 태그 주입

4: 재귀 필터 테스트

5: 앵커 태그 주입

6: 이벤트 핸들러 테스트

7: 덜 일반적인 이벤트 핸들러 입력

8: SRC 속성으로 테스트

9: Action 속성으로 테스트

10: HTML 5 기반 페이로드 주입

보고서

• https://hackerone.com/reports/1342009
• https://hackerone.com/reports/1416672
• https://hackerone.com/reports/1527284
• https://hackerone.com/reports/1683129
• https://hackerone.com/reports/834071

면책 조항: 무례하게 굴지 마세요!

말할 필요도 없이, 이 도구는 매우 매우 신중하게 사용하시기 바랍니다. 작성자는 어떠한 결과에도 책임지지 않습니다.