DAY17：XSS跨站脚本攻击3

一、XSS与HTML标签

1. 什么地方能运行XSS

①独立的<script>标签

②某些标签内部

第一个能执行，第二个不能

 

2. 常用事件

例如（若不能输入单引号可以用/代替）：

更多事件：https://www.w3school.com.cn/tags/html_ref_eventattributes.asp

 

3. HTML中支持事件的标签

查看事件支持的标签：https://www.runoob.com/jsref/dom-obj-event.html

 

4. ①JavaScript伪协议

②data伪协议：

 

 

5. 总结：在标签内部如何执行XSS语句

大小写绕过

对于关键字替换成空的可以双写绕过

 

 

二、XSS编码

1. XSS编码总览

 

 

2. html实体编码

HTML解析器只能识别在文本里的参数或属性值里的实体编码（不能独立于标签之外）

 

 

 

3. 进制编码：十进制ascii编码、十六进制编码、unicode编码

①十进制编码

②十六进制编码（搜索xss编码转换工具）

③unicode编码

 

 

 

4. jsfuck

①jsfuck例子

②jsfuck原理

③jsfuck原理

④jsfuck一些常见取值

⑤jsfuck转换工具

http://www.jsfuck.com

 

 

 

扩展

1. XSS绕过：

https://www.freebuf.com/articles/web/153055.html

2. 浏览器如何编码

https://www.freebuf.com/articles/web/10121.html

 

 

来源：https://www.cnblogs.com/niangaoSDS/p/11644731.html