前言：

內容來源于烏云漏洞

今日思考xss漏洞，

今天看到一篇文章，里面詳細說了xss的繞過技巧，雖然時間久了，沒有去嘗試，待會有時間去測試一下

以下是整理后的文章，原文在下面

文章鏈接：

https://drop.zone.ci/drops/Bypass xss過濾的測試方法.html

內容：

1、首先就是判斷是否<b>b標簽是否被html編碼了，

什么意思？

就是說發送一個<u>標簽，服務器是否將<>號，實體編碼成&lt;? ? ?但是我發現瀏覽器好像也不解析這個，就是不會轉換成尖括號，編碼了，那就是瀏覽器就不能將<>號里，當成js代碼去執行了，

2、嘗試其他開放標簽，然后查看響應包，看是否會被過濾

3、然后嘗試xss的payload，看是否會被過濾

? ? ? ? ?常見的xsspayload都被過濾，繞過的幾種思路

1、嘗試大小寫繞過，

2、如果<script>和</script>標簽過濾掉，可以嘗試雙寫，看是否可以繞過

3、當<script>標簽被過濾，嘗試使用<a>標簽嘗試

<a href="http://www.google.com">Clickme</a>

?然后查看判斷是否對href進行過濾，還是對里面的內容進行過濾

如果數據被過濾，插入JavaScript協議看看，這里就有點看不懂了
?

<a href="javascript:alert(1)">Clickme</a>

是否返回錯誤 javascript的整個協議內容是否都被過濾掉，還是只過濾了javascript字符 嘗試下大小寫轉換

sleeping