xss繞過(guò)方法（前端繞過(guò)，拼湊繞過(guò)，注釋干擾繞過(guò)，編碼繞過(guò)）

作者：老-男孩 | 2021-11-28 21:45 |點(diǎn)擊：

前端繞過(guò)：

前端有很多種方法繞過(guò)，比如抓包重放或者修改前端代碼。

大小寫繞過(guò)：

一般后臺(tái)對(duì)輸入進(jìn)行過(guò)濾有兩種方法：

1，使用正則匹配，一旦匹配成功就會(huì)被刪除掉。2，用查找的函數(shù)查找。被函數(shù)查找到的內(nèi)容也會(huì)被刪除。

這兩種方法可以用大小寫混合的方式進(jìn)行繞過(guò)，而后端是不管大小寫的，可以正常執(zhí)行我們的語(yǔ)句。

正則表達(dá)式：

重要性：在新技術(shù)層出不窮的今天，讓人難以遺忘的，能稱得上是偉大的東西寥寥無(wú)幾，但是這個(gè)正則表達(dá)式算一個(gè)！但是，最讓人容易忽略和忘記的也是正則表達(dá)式！（一定要學(xué)！！！）

正則表達(dá)式是一種描述字符串結(jié)構(gòu)的語(yǔ)法規(guī)則，是一種規(guī)定好了的字符串格式，作用是可以匹配，替換，截取匹配的字符串。

拼湊繞過(guò)：

后端會(huì)對(duì)我們輸入的標(biāo)簽進(jìn)行替換，但只替換一次，所以可以這樣：

<scri<script>pt>alert("hello world!")</scri</script>pt>

這樣經(jīng)過(guò)后端的替換之后就會(huì)變成：

使用注釋進(jìn)行干擾：

例如：

<script>alert("hello world!")</script>

后端不認(rèn)識(shí)：

<script>

所以不會(huì)去處理這個(gè)，然后執(zhí)行的時(shí)候會(huì)變成這樣：

如圖：

看到了沒(méi)<! --test–>不會(huì)出來(lái)，被注釋掉了。（這里的嘆號(hào)后面是沒(méi)有空格的，因?yàn)椴患涌崭瘢鼤?huì)被注釋掉，你們會(huì)看不到，建議手動(dòng)試試，，，，，，）但是可以避開檢查！

編碼繞過(guò)：

這種標(biāo)簽是可以編碼的，編碼之后，后臺(tái)也會(huì)不認(rèn)識(shí)它，然后達(dá)到繞過(guò)的效果，但是！不是可以任意編碼的！他有一個(gè)重要的條件：一定要確保在輸出點(diǎn)的時(shí)候可以正常被識(shí)別，翻譯，執(zhí)行！

案例演示：

大小寫繞過(guò)：

<Script>5555555

拼湊繞過(guò):

<sc<script>ript>4444444

注釋繞過(guò)

<script>666666

提交后查看頁(yè)面源碼：

大小寫繞過(guò)：

結(jié)果：標(biāo)簽還在！成功繞過(guò)！

拼湊繞過(guò)：

標(biāo)簽被“干掉”，繞過(guò)失敗！

注釋繞過(guò)：

標(biāo)簽被“干掉”，繞過(guò)失敗！

通過(guò)上面三種可以看出大小寫繞過(guò)方案可行！

payload：

<Script>alert("hello !")</Script>

效果：

關(guān)于htmlspecialchars（）函數(shù)的繞過(guò)：

這個(gè)函數(shù)的防御不全面，也就是說(shuō)，如果后端只用該函數(shù)對(duì)輸入進(jìn)行處理，而沒(méi)有其他處理的話，這樣的輸入口還是會(huì)產(chǎn)生漏洞的。比如：

$message=htmlspecialchars($_GET['message']);

上述圖片就是只用htmlspecialchars（）函數(shù)對(duì)輸入做處理，而沒(méi)用其他的，我們來(lái)試試如何繞過(guò)把！

輸入：

提交后查看后端代碼：

可以看到，2333和單引號(hào)和斜杠沒(méi)有被處理，所以我們可以結(jié)合后端返回回來(lái)的代碼試著做閉合處理：

payload：

' onclick='alert("hello!!!")'

總結(jié)：

xss的繞過(guò)方法很多很多，能否利用起來(lái)取決于你對(duì)PHP，Javascript，HTML等語(yǔ)言的理解程度，所以，努力吧！海闊憑魚躍，天高任鳥飛！

————————————————

版權(quán)聲明：本文為CSDN博主「老-男孩」的原創(chuàng)文章，遵循CC 4.0 BY-SA版權(quán)協(xié)議，轉(zhuǎn)載請(qǐng)附上原文出處鏈接及本聲明。

原文鏈接：https://blog.csdn.net/qq_43814486/article/details/89843012

如沒(méi)特殊注明，文章均為狐靈科技原創(chuàng),轉(zhuǎn)載請(qǐng)注明?? "xss繞過(guò)方法（前端繞過(guò)，拼湊繞過(guò)，注釋干擾繞過(guò)，編碼繞過(guò)）

相關(guān)推薦

返回首頁(yè) 了解更多建站資訊

多一份免費(fèi)策劃方案，總有益處。

請(qǐng)直接添加技術(shù)總監(jiān)微信聯(lián)系咨詢

立即詢問(wèn) 技術(shù)總監(jiān)在線 15523356218

網(wǎng)站設(shè)計(jì) 品牌營(yíng)銷

多一份參考，總有益處

聯(lián)系狐靈科技，免費(fèi)獲得專屬《策劃方案》及報(bào)價(jià)

咨詢相關(guān)問(wèn)題或預(yù)約面談，可以通過(guò)以下方式與我們聯(lián)系

業(yè)務(wù)熱線：15082661954 / 大客戶專線：15523356218

關(guān)于狐靈科技

狐靈致力于互聯(lián)網(wǎng)品牌建設(shè)與網(wǎng)絡(luò)營(yíng)銷，專業(yè)領(lǐng)域包括網(wǎng)站建設(shè)、 SEO優(yōu)化、移動(dòng)互聯(lián)網(wǎng)營(yíng)銷、高端網(wǎng)站建設(shè)、高端網(wǎng)站設(shè)計(jì)、品牌網(wǎng)站定制開發(fā)、營(yíng)銷策劃推廣電子商務(wù)、移動(dòng)互聯(lián)網(wǎng)營(yíng)銷、為不同類型的客戶提供良好的互聯(lián)網(wǎng)應(yīng)用定制解決方案，我們將策略和執(zhí)行緊密結(jié)合，且不斷評(píng)估并優(yōu)化我們的方案，為客戶提供一體化全方位的互聯(lián)網(wǎng)品牌整合方案！

我們的優(yōu)勢(shì)

量身打造個(gè)性化網(wǎng)站制作

代碼深度符合SEO優(yōu)化

一站式企業(yè)網(wǎng)站建設(shè)服務(wù)

前沿視覺(jué)設(shè)計(jì)、研發(fā)能力

重慶網(wǎng)站建設(shè)公司

多項(xiàng)網(wǎng)站設(shè)計(jì)傳播大獎(jiǎng)

營(yíng)銷型網(wǎng)站建設(shè)專家

自主研發(fā)網(wǎng)站管理系統(tǒng)

B2C電商網(wǎng)站建設(shè)供應(yīng)商

完善的售后服務(wù)體系

我們的不同

在我們的對(duì)手消耗大量的時(shí)間停留在碎片化的互聯(lián)網(wǎng)設(shè)計(jì)或者程序?qū)崿F(xiàn)的時(shí)候，我們已經(jīng)開始把數(shù)字化品牌建設(shè)和網(wǎng)絡(luò)傳播進(jìn)行了整合。我們提供從前期的網(wǎng)站品牌分析策劃、網(wǎng)站設(shè)計(jì)、創(chuàng)意表現(xiàn)、系統(tǒng)開發(fā)以及后續(xù)網(wǎng)站運(yùn)營(yíng)反饋建議等一系列服務(wù)，幫助企業(yè)打造創(chuàng)新的互聯(lián)網(wǎng)品牌經(jīng)營(yíng)模式與有效的網(wǎng)絡(luò)營(yíng)銷方法,為所有謀求長(zhǎng)遠(yuǎn)發(fā)展的企業(yè)品牌貢獻(xiàn)全力！

友情鏈接交換友情鏈接 交換友情鏈接 展開

公司地址：重慶市九龍坡楊家坪重百大樓21-8 | 業(yè)務(wù)熱線：15082661954

專業(yè)團(tuán)隊(duì)為您提供重慶網(wǎng)頁(yè)設(shè)計(jì), 品牌網(wǎng)站設(shè)計(jì),營(yíng)銷型網(wǎng)站制作,SEO優(yōu)化關(guān)鍵詞排名推廣等服務(wù),建網(wǎng)站就找狐靈科技！ | TAG標(biāo)簽 | 網(wǎng)站建設(shè)地圖 | 網(wǎng)站地圖

精品国产免费观看久久久_久久天天躁狠狠躁夜夜爽_无码人妻少妇久久中文字幕_狠狠做深爱婷婷久久综合一区

首頁(yè)

網(wǎng)站建設(shè)

優(yōu)化推廣

案例

方案

電商平臺(tái)

微信營(yíng)銷

資訊

我們

聯(lián)系

精準(zhǔn)傳達(dá) ? 價(jià)值共享

查看其它板塊

xss繞過(guò)方法（前端繞過(guò)，拼湊繞過(guò)，注釋干擾繞過(guò)，編碼繞過(guò)）

熱門標(biāo)簽

多一份參考，總有益處

聯(lián)系狐靈科技，免費(fèi)獲得專屬《策劃方案》及報(bào)價(jià)

業(yè)務(wù)熱線：15082661954 / 大客戶專線：15523356218

關(guān)于狐靈科技

我們的優(yōu)勢(shì)

我們的不同

友情鏈接交換友情鏈接 交換友情鏈接 展開

網(wǎng)站建設(shè)

Website Building

推廣優(yōu)化

Seo

案例

Site case

方案

Solutions

電商網(wǎng)站開發(fā)

E-commerce & System

我們

About Us

聯(lián)系

Contact Us

精準(zhǔn)傳達(dá) ? 價(jià)值共享

查看其它板塊

xss繞過(guò)方法（前端繞過(guò)，拼湊繞過(guò)，注釋干擾繞過(guò)，編碼繞過(guò)）

熱門標(biāo)簽

多一份參考，總有益處

聯(lián)系狐靈科技，免費(fèi)獲得專屬《策劃方案》及報(bào)價(jià)

業(yè)務(wù)熱線：15082661954 / 大客戶專線：15523356218

關(guān)于狐靈科技

我們的優(yōu)勢(shì)

我們的不同

友情鏈接 交換友情鏈接 交換友情鏈接 展開

友情鏈接交換友情鏈接交換友情鏈接展開