繞過XSS過濾規(guī)則

發(fā)布時間：2020-10-10 07:18:22 來源：網(wǎng)絡(luò) 閱讀：845 作者：屋脊之上欄目：安全技術(shù)

相信大家在做***測試的時候都有過這樣的經(jīng)歷，明明一個XSS的漏洞，但是卻有XSS過濾規(guī)則或者WAF保護導致我們不能成功利用，比如我們輸入<scirpt>alert("hi")</script>，會被轉(zhuǎn)換為<script>alert(>xss detected<)</script>，這樣的話我們的XSS就不生效了，下面就教大家?guī)追N簡單的繞過XSS的方法：

1、繞過 magic_quotes_gpc

magic_quotes_gpc=ON是php中的安全設(shè)置，開啟后會把一些特殊字符進行輪換，比如'(單引號)轉(zhuǎn)換為\'，"(雙引號)轉(zhuǎn)換為\" ，\轉(zhuǎn)換為\\

比如：<script>alert("xss");</script>會轉(zhuǎn)換為<script>alert(\"xss\");</script>,這樣我們的xss就不生效了。

針對開啟了magic_quotes_gpc的網(wǎng)站，我們可以通過javascript中的String.fromCharCode方法來繞過，我們可以把alert("XSS");轉(zhuǎn)換為

String.fromCharCode(97, 108, 101, 114, 116, 40, 34, 88, 83, 83, 34, 41)那么我們的XSS語句就變成了

String.fromCharCode()是javascript中的字符串方法，用來把ASCII轉(zhuǎn)換為字符串。

如何轉(zhuǎn)換ASCII碼呢？

我們可以使用 hackbar 來搞定，F(xiàn)irefox的擴展工具https://addons.mozilla.org/en-US/firefox/addon/hackbar/

最后使用<script>轉(zhuǎn)換后的放到這里</script>包含即可。

2、HEX編碼

我們可以對我們的語句進行hex編碼來繞過XSS規(guī)則。

比如：<script>alert("xss");</script> 可以轉(zhuǎn)換為：

%3c%73%63%72%69%70%74%3e%61%6c%65%72%74%28%22%78%73%73%22%29%3b%3c%2f%73%63%72%69%70%74%3e

在線工具：

http://textmechanic.com/ASCII-Hex-Unicode-Base64-Converter.html

http://www.asciitohex.com/

3、改變大小寫

在測試過程中，我們可以改變測試語句的大小寫來繞過XSS規(guī)則

比如：<script>alert("xss");</script> 可以轉(zhuǎn)換為：

<ScRipt>ALeRt("XSS");</sCRipT>

4、關(guān)閉標簽

有時我們需要關(guān)閉標簽來使我們的XSS生效，如：

"><script>alert("Hi");</script>

向AI問一下細節(jié)

繞過XSS過濾規(guī)則

猜你喜歡

最新資訊

相關(guān)推薦

相關(guān)標簽