DomXSS以及绕过浏览器检测机制方法总结

最新推荐文章于 2025-07-21 00:58:16 发布
原创 最新推荐文章于 2025-07-21 00:58:16 发布 · 9k 阅读 · 5 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#XSS

本文详细记录了对PKAV心伤的瘦子XSS系列教程的学习心得，聚焦DOM_XSS的iframe标签变化及XSS过滤器绕过策略。包括onload执行js、src执行javascript、IE的vbscript执行、Chrome下的data协议执行等，并展示了如何猥琐绕过浏览器的拦截，例如利用代码构造技巧规避Chrome的过滤机制。

今天继续研究了一下PKAV“心伤的瘦子”的XSS系列教程，收获挺大的，这里主要记录下来，以备忘记！
下面是这个系列教程的截图，可以在这里看到，当让，每一个知识知识点，都可以在这里（传送门）得到复现。作为程序员，会让你意思到自己以前的编码方式中有诸多的不足，作为安全研究者，深深地感觉到，原来还可以这么玩….

这里写图片描述

昨天的知识点忘记整理了，先吧今天的写上，以后再补：
**

DOM_XSS之iframe标签的变化

1.1 最好懂的，onload执行js

<iframe onload="alert(1)"></iframe>

1.2 src 执行javascript代码

<iframe
最低0.47元/天 解锁文章

新学期VIP享超值加赠
XSS攻击绕过方法以及绕过waf方法语句大全 XSS攻击语句这一篇足够
浩策盾悟
12-31 1万+
1. 使用HTML实体编码 2. 大小写混合 3. 利用JavaScript事件 4. 利用URL编码 5. 使用不完整的HTML标签 6. 利用编码绕过 7. 使用不寻常的标签 8. 利用CDATA 9. 利用注释 10. 使用文档对象模型（DOM） 11. 利用HTML5功能 12. 使用特殊字符 13. 利用外部脚本 14. 使用IFrame 15. 利用CSS注入 16. 使用数据URI 17. 利用SVG 18. 使用Base64编码 19. 利用JavaScr
XSS过滤绕过总结_xss绕过字符过滤
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
08-29 1952
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java，VBScript，ActiveX，Flash或者甚至是普通的HTML。攻击成功后，攻击者可能得到更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。...
存储型xss与chrome浏览器绕过
机器的自我探索之旅
08-31 457
从php and mysql web developmented 4th 一书中拿出一个简单的html页面 html代码如下 表单的数据提交到了processorder.php 进行数据处理； 在processorder.php数据处理如下： $outputstring = $date."\t".$tireqty." tires \t".$oilqty." oil\t"
爬虫之绕过浏览器验证
weixin_51221760的博客
08-25 551
爬虫 selenium 验证
XSS漏洞|DOM型、存储型、反射型
最新发布
pdxdhmk318的博客
07-21 1102
一、XSS漏洞一、XSS漏洞1、XSS漏洞简介XSS全称（跨站脚本攻击），是将恶意代码插入到Web页面中，当用户浏览到该页面时这些嵌入在Web页面的代码就会被执行，从而到达攻击者的攻击目的。2、漏洞产生原理形成XSS漏洞是：因为Web应用程序对用户输入的内容和程序输出的内容没有经过严格的校验和过滤，导致攻击者构造的恶意代码被带入后，又被当作正常的代码输出至前端页面，浏览器当作有效代码解析执行从而产生危害。3、漏洞的危害窃取用户信息网络钓鱼，包括获取各类用户浏览器账号。
浏览器的安全机制\ XSS
Chenamao的博客
08-02 863
浏览器的安全机制\ XSS 目录 浏览器的安全机制\ XSS 同源策略 SOP（sam Origin Policy） img 标签: iframe框架 AJAX： 同源策略条件 跨资源共享： HTTP头部声明 CSP（content security policy） XSS 跨站脚本攻击 （Cross Site Scripting）。 XSS漏洞的危害 Xss 漏洞的验证 XXS漏洞的分类 XXS的构造 固定会话攻击与防御 *利用XSS漏洞如何获取数据？ XSS的变形：
DVWA靶场-XSS（跨站脚本攻击）
zeroone的博客
03-12 1943
第十关：XSS（跨站脚本攻击）       XSS，全称Cross Site Scripting，即跨站脚本攻击，某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行。 反射型XSS Low <?php header ("X-XSS-Protection: 0"); // Is there any input? if( array_key_exists( "name", $_GET
10个必需的iOS开发工具和资源
03-27
界面总不是一件很容易事，尤其是iPhone/iPad的界面，做过iOS开发的程序员，一定会感到开发iPhone/iPad的界面是一件多么不容易的事。下面的文章来自10 Essential iOS Developer Tools & Resources， 这个文章介绍了十个iOS开发的基础性工具和资源，其一定会很有效地帮你做iOS的开发。（在这里，我再闲扯一句，虽然Android的开发好像整整 XML文件界面就出来了，其明显比iOS的开发要容易很多，但是我还是觉得iOS的生命力要强过Android，看看Android今天的应用就知道，有时候入门门槛低不是一些好事，大多数的程序员搞出来的Android代码和软件简直令人作呕，就像不是每个人都能烧得手好菜一样。
XSSBypass:XSS绕过技术
05-17
**XSS（跨站脚本攻击）Bypass：探索XSS绕过技术** XSS（Cross-Site Scripting）是一种常见的网络安全漏洞，它允许攻击者在用户的浏览器中注入恶意脚本，进而执行非授权的操作。当Web应用程序未能充分地验证和转义...
DOM XSS跨站攻击技巧与检测方法
DOM XSS的危害体现在它能够绕过服务器的预处理阶段，利用用户的浏览器环境执行任意JavaScript代码。攻击者可能通过设置隐藏的属性或者自定义属性来实现这一目标，例如在HTML标签内嵌入恶意脚本，如`你输入的某句话">...
招聘数据爬取
hkh的博客
10-11 1万+
现如今，各大招聘网站数据提供的价值非常大，需要获取招聘数据可参考一下方法，爬取无忧招聘，接下来还会出其他招聘网站数据的获取，大家可以期待一下。
AntiXSS - 支持Html同时防止XSS攻击
weixin_33873846的博客
06-24 288
跨站脚本攻击（XSS）已经不是什么新鲜的话题了，甚至很多大公司也为此吃尽苦头。最简单直接的防范方法，就是不允许任何html标签输入，对用户输入进行编码(htmlencode)。但是如果想用户输入支持一些格式，怎么办？一种办法就是很多论坛采用的BB Code的方法。使用特定的标签代替一些格式。比如：[B]表示粗体，等等。但是，BB Code这种形式并不被广泛接受，它的表现力实在太差了，而且并不是标准...
防御XSS攻击的七条原则
weixin_34258782的博客
06-15 353
本文将会着重介绍防御XSS攻击的一些原则，需要读者对于XSS有所了解，至少知道XSS漏洞的基本原理，如果您对此不是特别清楚，请参考这两篇文章：《Stored and Reflected XSS Attack》《DOM Based XSS》 攻击者可以利用XSS漏洞向用户发送攻击脚本，而用户的浏览器因为没有办法知道这段脚本是不可信的，所以依然会执行它。对于浏览器而言，它认为这段脚本是来自可以信任的...
xss防御方法base64_前端常见代码漏洞之DOM型XSS漏洞（进阶高级前端必备知识点）...
weixin_39995943的博客
12-22 997
DOM，全称Document Object Model，是一个平台和语言都中立的接口，可以使程序和脚本能够动态访问和更新文档的内容、结构以及样式。DOM型XSS其实是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。漏洞等级:紧急风险分析:向Web 浏览器发送非法数据，从而导致浏览器执行恶意代码。客户端的脚本程序可以通过DOM来动态修改页面内容，从客户端获取DOM中的数据并在本地执...
Chrome浏览器启动参数大全（命令行参数）
热门推荐
bigcarp的专栏
11-04 4万+
前言 在开发Web项目当中，浏览器必不可少，而浏览器的启动参数可以帮我们实现很多功能。 常用参数 常用参数请参考下表。 序号 参数 说明 1 --allow-outdated-plugins 不停用过期的插件。 2 --allow-running-insecure-content 默认情况下，https 页面不允许从 http 链接引用 javascript/css/plug-ins。添加这一参数会放行这些内容。 3 --allow-scri
3-4Dom形XSS详解以及演示
山兔的博客
04-21 3693
学习DOM型XSS前，先搞清楚什么是DOM 通过 JavaScript，可以重构整个 HTML 文档。您可以添加、移除、改变或重排页面上的项目。 要改变页面的某个东西，JavaScript 就需要获得对HTML 文档中所有元素进行访问的入口。这个入口，连同对 HTML 元素进行添加、移动、改变或移除的方法和属性，都是通过文档对象模型来获得的（DOM）。 所以，你可以把DOM理解为一个可以访问HTML的标准编程接口。 举个栗子来理解一下DOM <html><head> <sc
被注入js脚本的xss的解决方法
sina_panda
01-10 4463
acelan的解决方法// acelan fix xss // 20170110 假红包注入事件 function encodeHTML(source) { return String(source) .replace(/&/g, '&') .replace(/</g, '<') .replace(/>/g, '>')
Discuz 全版本存储型 DOM XSS
whatiwhere的博客
11-30 2133
实验目的 1.掌握XSS的原理及其利用方法 2.了解XSS的修复方法 实验内容 漏洞介绍 攻击者可以构造JS语句，通过XSS漏洞使管理员中招，获取管理员Cookie 影响范围 全版本 漏洞危害 上传脚本文件盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号; 利用xss漏洞上传脚本文件获得企业网站一定权限控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力; 盗窃企业重要...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值