xss-payload-list

Introdução

⭐ Dê uma estrela no GitHub — isso motiva muito! ⭐

Se você tiver algum payload XSS, basta criar um PullRequest.

Write-Ups / Tutoriais

https://portswigger.net/web-security/cross-site-scripting/cheat-sheet https://medium.com/p/92ac1180e0d0 https://book.hacktricks.xyz/pentesting-web/xss-cross-site-scripting

Meu polyglot favorito

jaVasCript:/*--></title></style></textarea></script></xmp><svg/onload='+/"/+/onmouseover=1/+/[*/[]/+alert(1)//'>
"'alert(1)

Tarefas

• Payloads XSS para campos de URL
• Payloads XSS para onfocus
• Payloads XSS para title
• Payloads XSS sem alert
• Payloads XSS para base64
• Payloads XSS sem tag script
• Payloads XSS para campos javascript
• Payloads XSS para campos numéricos
• Payloads XSS para a href
• Payloads XSS para markdown
• XSS para anker
• XSS para open-redirect
• bypass de cloudflare

Descrições dos Arquivos

• XSS-polyglot.txt Um JavaScript Polyglot é um vetor de Cross Site Scripting (XSS) que é executável em vários contextos de injeção em sua forma bruta, ou um trecho de código que pode ser executado em múltiplos contextos na aplicação.

Regras

Regras Para Encontrar XSS

1: injetar HTML inofensivo ,

2: injetar Entidades HTML

<b> \u003b\u00

3: injetar Tag Script

4: Testar Filtros Recursivos

5: injetar Tag Anchor

6: Testar Event Handlers

7: Inserir Event Handlers Menos Comuns

8: Testar Com o Atributo SRC

9: Testar Com o Atributo Action

10: Injetar Payload Baseado em HTML 5

Relatórios

• https://hackerone.com/reports/1342009
• https://hackerone.com/reports/1416672
• https://hackerone.com/reports/1527284
• https://hackerone.com/reports/1683129
• https://hackerone.com/reports/834071

Aviso Legal: NÃO SEJA UM BABACA!

Escusado será dizer, use esta ferramenta com muito, muito cuidado. Os autores não serão responsáveis por quaisquer consequências.