xss-payload-list

Введение

⭐ Поставьте нам звезду на GitHub — это очень мотивирует! ⭐

Если у вас есть какой-либо XSS-пейлоад, просто создайте PullRequest.

Разборы / Руководства

https://portswigger.net/web-security/cross-site-scripting/cheat-sheet https://medium.com/p/92ac1180e0d0 https://book.hacktricks.xyz/pentesting-web/xss-cross-site-scripting

Мой любимый полиглот

jaVasCript:/*--></title></style></textarea></script></xmp><svg/onload='+/"/+/onmouseover=1/+/[*/[]/+alert(1)//'>
"'alert(1)

Задачи

• XSS-пейлоады для полей URL
• XSS-пейлоады для onfocus
• XSS-пейлоады для title
• XSS-пейлоады без alert
• XSS-пейлоады для base64
• XSS-пейлоады без тега script
• XSS-пейлоады для полей javascript
• XSS-пейлоады для числовых полей
• XSS-пейлоады для a href
• XSS-пейлоады для markdown
• XSS для anker
• XSS для open-redirect
• обход cloudflare

Описание файлов

• XSS-polyglot.txt JavaScript-полиглот — это вектор межсайтового скриптинга (XSS), который исполняется в различных контекстах внедрения в своём исходном виде, или фрагмент кода, который может быть выполнен в нескольких контекстах приложения.

Правила

Правила поиска XSS

1: внедрение безобидного HTML ,

2: внедрение HTML-сущностей

<b> \u003b\u00

3: внедрение тега Script

4: проверка на рекурсивные фильтры

5: внедрение тега Anchor

6: проверка обработчиков событий

7: ввод менее распространённых обработчиков событий

8: проверка с помощью атрибута SRC

9: проверка с помощью атрибута Action

10: внедрение пейлоада на основе HTML 5

Отчёты

• https://hackerone.com/reports/1342009
• https://hackerone.com/reports/1416672
• https://hackerone.com/reports/1527284
• https://hackerone.com/reports/1683129
• https://hackerone.com/reports/834071

Отказ от ответственности: НЕ БУДЬТЕ ПРИДУРКОМ!

Излишне говорить, что используйте этот инструмент очень и очень осторожно. Авторы не несут ответственности за любые последствия.