原文鏈接：https://blog.csdn.net/qq_29277155/article/details/51320064 0x00前言 我們友情進行XSS檢查，偶然跳出個小彈窗，其中我們總結了一些平時可能用到的XSS插入方式，方便我們以后進行快速檢查，也提供了一定的思路 ...

很多網站為了避免XSS的攻擊，對用戶的輸入都采取了過濾，最常見的就是對<>轉換成&lt;以及&gt;，經過轉換以后<>雖然可在正確顯示在頁面上，但是已經不能構成代碼語句了。這個貌似很徹底，因為一旦<>被轉換掉，什么<script src ...

繞過XSS過濾的常用方法如下 ...

很多網站為了避免XSS的攻擊，對用戶的輸入都采取了過濾，最常見的就是對<>轉換成&lt;以及&gt;，經過轉換以后<>雖然可在正確顯示在頁面上，但是已經不能構成代碼語句了。這個貌似很徹底，因為一旦<>被轉換掉，什么<script src ...

測試代碼： 標簽 先對標簽進行測試 繞過方法 可以彈窗的：alert，prompt ，confirm，base64加密，編碼繞過（安全狗都沒有過濾） 繞過方法有很多比如： 大小寫繞過 javascript偽協議 沒有分號 Flash HTML5 新標簽 ...

大家都知道，普遍的防御XSS攻擊的方法是在后台對以下字符進行轉義：<、>、’、”，但是經過本人的研究發現，在一些特殊場景下，即使對以上字符進行了轉義，還是可以執行XSS攻擊的。 首先看一個JS的例子 ...

常用測試語句： <script src=http://xxx.com/xss.js></script> #引用外部的 xss <script> alert("hack")</script> #彈 出 hack < ...

在個人空間的我的收藏中可編輯視頻收藏的名稱，之后嘗試寫入標簽。 http://space.bilibili.com/ 發現輸出到前端的尖括號被轉義了，不過出現 ...