xss标签和属性爆破
当网站过滤了大部分的HTML标签和属性，我们就尝试爆破一下，看哪些标签和属性没有没过滤。
爆破的步骤：
1. 首先在测试点输入我们正常的exp，并抓包发送到Intruder模块。
2. 将exp改为 <§§> ，以创建有效载荷位置。
3. 在xss备忘单中点击：Copy tags to clipboard，点击Paste粘贴到Intruder的payload位置。
https://portswigger.net/web-security/cross-site-scripting/cheat-sheet
4. 进行爆破。发现body标签没有被过滤。
5. 将有效载荷设置为：<body%20§§=1>
6. 在xss备忘单中点击：将事件复制到粘贴板，点击Paste粘贴到Intruder的payload位置。
7. 进行攻击。发现onresize属性没有被过滤。
8. 构造payload，在测试位置输入，并用F12打开调试窗口时，就会弹窗。
因为onresize属性就是窗口或框架被调整大小时触发。
<body onresize=alert(3)>
【推荐】国内首个AI IDE，深度理解中文开发场景，立即下载体验Trae
【推荐】编程新体验，更懂你的AI，立即体验豆包MarsCode编程助手
【推荐】抖音旗下AI助手豆包，你的智能百科全书，全免费不限次数
【推荐】轻量又高性能的 SSH 工具 IShell：AI 加持，快人一步
· 25岁的心里话
· 闲置电脑爆改个人服务器（超详细） #公网映射 #Vmware虚拟网络编辑器
· 基于 Docker 搭建 FRP 内网穿透开源项目（很简单哒）
· 零经验选手，Compose 一天开发一款小游戏！
· 一起来玩mcp_server_sqlite，让AI帮你做增删改查！！