xssshell平台使用以及Burpsuit 抓包辅助查过滤

最新推荐文章于 2024-04-10 17:08:10 发布
原创 最新推荐文章于 2024-04-10 17:08:10 发布 · 1k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍如何使用XSSShell进行XSS攻击的配置与利用，并通过Burp Suite工具进行XSS注入测试的过程。文章详细展示了如何设置XSSShell来捕获cookie，以及如何借助Burp Suite的intruder模块进行自动化注入测试。

XSSShell配置过程

地址填写XSSShell地址，然后让别人点击这个js脚本，平台会接受到cookie，或者在可能存在XSS注入的地方将这条shell插入。

点击后如图所示：

 尝试左侧命令


Alert执行界面




利用Burp 看XSS注入网站过滤内容

先将火狐浏览器挂上代理，不赘述

在BWAPP博客XSS注入界面输入任意内容后抓包



post型数据包内容如下


将数据包放入burp intruder中

在输入内容处添加注入点


加载字典



之后burp会对符号逐个尝试


在结果中可以看到，该网页对（）；\//-->#不过滤


t_i_m_e
关注
BurpSuite暴力破解结果过滤
foryouslgme的博客
09-23 8259
BurpSuite暴力破解大家应该都很熟悉了，甚至是破解结果过滤都很清楚（其实破解结果过滤也很简单），只是操作稍微有一点点不人性化，容易让人理解错误，这里只是为了给自己做个记录。 破解结果分析 在日常工作中，常常只验证某接口是否存在暴力破解漏洞即可，都是使用几个、十几个数据进行测试，这样测试结果一目了然，但是在真实环境中，往往都需要大量数据进行暴力破解，那最难就是从众多结果中筛选出正确的数...
Burp Suite_过滤设置详解
weixin_41244495的博客
02-14 9137
1.点击target 2.点击scope 3.在include in scope 中添加要显示的请求 点击add，可以在host or ip range中填写你需要查看的请求 host名或者ip 或者端口，支持正则式 3.在exclude from scope中可以设置对应的不想看的请求 4.然后在proxy -> history中，点击filter，在filter b...
Burpsuite过滤介绍
weixin_45682070的博客
07-05 2743
`在这里插入代码片过滤器分为以下模块： 1.Fitter by Request type：按照请求类型筛选 Show only in-scope items：只显示范围内的 Show only requested items：只显示请求的 Show only parameterized requests：只显示带有参数的请求 Hide not-found items：隐藏未找到的 2.Fitter by search term：通过关键字筛选 直接输入关键字即可筛选 regex：通过正则表达式匹配 case
burp 设置过滤
木灵的专栏
12-24 9572
burp 设置过滤 1.点击target 2.点击scope 3.在include in scope 中添加要显示的请求     点击add，可以在host or ip range中填写你需要查看的请求 host名或者ip 或者端口，支持正则式 3.在exclude from scope中可以设置对应的不想看的请求 4.然后在proxy -> history中，点击fi
使用Burp Suite进行XSS渗透测试 （只为自己做个备忘，甚读）
zkwniky的博客
09-01 6317
使用Burp Suite进行XSS渗透测试 测试环境：webgoat burp Suite 测试网址:http://192.168.1.104:8080/WebGoat/start.mvc#attack/1406352188/900 1)在输入框中输入!@#$[]()""，返回 * Whoops, you entered [!@#$[]()""] instead of your thr
xss 抓包突破字符长度
06-14
本话题聚焦于“XSS抓包突破字符长度”，这涉及到攻击者在利用XSS漏洞时如何处理网络报文的字符限制。 首先，理解XSS的基本原理至关重要。XSS攻击通常分为反射型、存储型和DOM型三种类型。其中，反射型XSS是通过诱使...
xssshell-rqndx
11-30
【xssshell-rqndx】是一个集合了XSS（跨站脚本攻击）利用工具和管理功能的资源包。这个包包含了一些关键文件，如`admin.php`、`cook.html`、`clear.php`、`c.php`以及`xss.txt`，它们各自承载着不同的功能，对于理解...
xssshell2.0
08-02
xssshell 2.0 非常好用xss跨站工具. author:darkwahaha
java过滤器，防止XSS、SQL
01-08
java过滤器，XSS : 跨站脚本攻击(Cross Site Scripting)，SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令
搭建DVWA靶场体验XSS攻击平台使用
DVWA靶场搭建与使用涉及多个步骤和技术领域，主要包括Web服务器的搭建、DVWA的部署以及如何对DVWA进行渗透测试。 ### 知识点一：DVWA靶场简介 DVWA是一个用PHP编写的轻量级的Web应用程序，其设计目的是给安全专家...
在burpsuite上过滤信息
qq_53086712的博客
10-18 451
BurpSuite日志分析过滤工具,加快SqlMap进行批量扫描的速度
weixin_34007291的博客
09-04 619
BurpLogFilter 一个python3写的，用于过滤BurpSuite日志的小程序 A python3 program to filter BurpSuite log file. WHY？ 为什么要写这个程序呢？强大的SqlMap支持使用BurpSuite的日志进行批量分析，但是BurpSuite的日志记录了所有走代理的流量，包括静态资源啊，重复的提交啊，这些都会影响SqlMap的...
burp小技巧-如何过滤不想分析的请求，指定分析请求
热门推荐
网络安全领域优质创作者
05-08 1万+
场景发生如下： 我需要抓包某个app分析具体的参数和请求，但是该app类似于股票那种，会不停的发起非常多的请求显示k线，我想要抓包的请求没法很好的分析，浪费很多时间，于是，借助burp的范围功能，进行了过滤。记录一下解决方案。 目标：抓取手动点击的请求，过滤自动发起的请求。 一、设置域名范围 二、复制需要过滤的请求 三、添加到从范围中排除 四、点击过滤器打勾仅在范围内...
burpsuite抓包怎么过滤网址？
CKT_GOD的博客
04-03 3109
1、burpsuite抓包中怎么过滤指定网址/网站呢？2、burpsuite抓包中怎么过滤一些不想抓的网站呢？3、burpsuite抓包中怎么过滤谷歌浏览器google.com火狐浏览器mozilla.com内置网站呢？在使用burpsuite进行抓包渗透测试的时候，经常会出现一些浏览器内置的服务地址(比如谷歌浏览器google.com和火狐浏览器mozilla.com)干扰我们测试，有时候看着很烦，怎么过滤呢？我来教大家一下，可配置浏览器代理工具来配置。
burp靶场--xss上篇【1-15】
qq_33168924的博客
01-29 3455
跨站脚本 (XSS) 是一种通常出现在 Web 应用程序中的计算机安全漏洞。XSS 允许攻击者将恶意代码注入网站，然后在访问该网站的任何人的浏览器中执行该代码。这可能允许攻击者窃取敏感信息，例如用户登录凭据，或执行其他恶意操作。XSS 攻击主要有 3 种类型：反射型 XSS：在反射型 XSS 攻击中，恶意代码嵌入到发送给受害者的链接中。当受害者点击链接时，代码就会在他们的浏览器中执行。例如，攻击者可以创建包含恶意 JavaScript 的链接，并将其通过电子邮件发送给受害者。
burp suite简单使用（网页拦截）
最新发布
2301_80706248的博客
04-10 638
burp suite简单应用。
burpsuite靶场系列之客户端漏洞篇 - 跨站脚本(XSS)专题
weixin_50464560的博客
04-14 3877
https://www.anquanke.com/post/id/245953 本系列介绍 PortSwigger是信息安全从业者必备工具burpsuite的发行商，作为网络空间安全的领导者，他们为信息安全初学者提供了一个在线的网络安全学院(也称练兵场)，在讲解相关漏洞的同时还配套了相关的在线靶场供初学者练习，本系列旨在以初学者视角出发对学习该学院内容及靶场练习进行全程记录并为其他初学者提供学习参考，希望能对初学者们有所帮助。 客户端漏洞篇介绍 相对于服务器端漏洞篇，客户端漏洞篇会更加复杂
渗透测试之BurpSuite工具的使用介绍（一）
cmdos的专栏
03-13 2557
一、BurpSuite功能模块介绍：Proxy——是一个拦截 HTTP /S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。Scanner[仅限专业版]——是一个高级的工具，执行后，它能自动地发现 web应用程序的安全漏洞。Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用 fuzzing技术探测常
[GXYCTF2019]Ping Ping Ping
rang的博客
10-18 260
通过大佬的博客学习知道怎么绕过 命令执行漏洞利用及绕过方式总结 首先使用burp抓包看看过滤了什么字符 基本上大部分字符都被过滤了，就很烦人 尝试构造?ip=127.0.0.1;ls 发现有两个东西 ?ip=127.0.0.1;ls flag.php 发现被过滤 空格和flag都被过滤了 用刚才学到的${IFS}绕过 可能{}也被过滤了 用$IFS$1绕过 在网上看到源码 发现bash也被过滤 还好sh可以利用 ?ip=127.0.0.1;echo$IFS$1Y2phpF0IGZsYWcuc
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值