绕过阿里云盾进行XSS

最新推荐文章于 2025-10-08 11:07:22 发布
转载 最新推荐文章于 2025-10-08 11:07:22 发布 · 2.7k 阅读 · 1 ·
CC 4.0 BY-SA版权
原文链接：https://yq.aliyun.com/articles/519334

部署运行你感兴趣的模型镜像

Payload如下所示：

1
<img src=# onerror=alert`2`>








本文转自fatshi51CTO博客，原文链接： http://blog.51cto.com/duallay/1944532，如需转载请自行联系原作者











您可能感兴趣的与本文相关的镜像

Llama Factory

Llama Factory

模型微调
LLama-Factory

LLaMA Factory 是一个简单易用且高效的大型语言模型（Large Language Model）训练与微调平台。通过 LLaMA Factory，可以在无需编写任何代码的前提下，在本地完成上百种预训练模型的微调

深入waf绕过 （云盾，宝塔，安全狗）（19）
san3144393495的博客
05-07 6406
这个意思是他接受php后面的参数id，这个静态资源什么意思，这个waf很有可能过滤的是基于脚本类型的参数，也就是针对这种脚本类型的文件在进行过滤，针对某一些其他格式就不会过滤，比如图片格式文本格式，因为图片和文本格式一般不会带参数，造成不了危害，只有脚本里面有代码，或者是图片的代码没有危害，waf设计的时候就针对脚本格式和后缀里面的参数进行拦截，从网络层获取的 ip，这种一般伪造不来，如果是获取客户端的 IP，这样就可能存在伪造 IP 绕过的情。从请求来的数据包里面添加上面这五类。第二种方式 静态资源。
渗透测试之waf绕过基础
qi_SJQ_的博客
01-28 4239
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 思维导图 一、pandas是什么？ 二、使用步骤 1.引入库 2.读入数据 总结 思维导图： 一、信息收集 此处只针对对于目标网站直接扫描的信息收集讲解，其他辅助信息收集手段如：查旁站/识别cms等手段也不会遇到waf拦截。 1.安全狗—防ddos cenos目前用的不熟练，于是我将服务器系统换成了winserver，搭建上web环境和安全狗，打开cc拦截开关，本地.
绕过 WAF 的 10 大实战小技巧！
最新发布
yy1715713348的博客
10-08 955
WAF 未完整解析 chunked 扩展参数时，会漏检后的有效负载。实测对阿里云 WAF 有效。Cloudflare 等 WAF 优先处理第一个 Content-Length，实际后端服务器读取第二个长度值。当 WAF 解码层数小于后端框架时，可构造编码深度差异。
XSS绕过经验总结
sli_ant的博客
07-06 5197
XSS绕过经验总结 1.概述 做过不少渗透测试，发现系统中有各式各样的拦截XSS的机制，这边分享一下绕过XSS的经验。 刚开始学习XSS时，可能一开始的攻击方式是将payload整理成字典，然后一个个尝试，或者是放到burpsuite中进行爆破，这个是非常直接而且挺有效果的方式，但是如果防御机制是直接将特殊字符进行转义时，可能这个效果就会比较差，因此我这里分享的经验时逐步进行分析的流程。 XSS攻击的流程： 1.观察输入的数据是否在页面有回显 2.判断XSS防御机制 3.构造XSSpayload 4.触发X
漏洞：阿里云盾phpMyAdmin <=4.8.1 后台checkPageValidity函数缺陷可导致GETSHELL
weixin_34032792的博客
09-10 293
阿里云盾提示phpMyAdmin <=4.8.1会出现漏洞有被SHELL风险，具体漏洞提醒： 标题 phpMyAdmin <=4.8.1 后台checkPageValidity函数缺陷可导致GETSHELL 简介 checkPageValidity函数对外部输入过滤不严，可导致本地包含任意文件。进一步地攻击者可通过注入代码到特定文件进行包含造成远程代码执行。 ...
绕过WAF与识别工具
weixin_51387754的博客
05-13 3482
WAF简介 WAF对于一些常规漏洞（如注入漏洞、XSS漏洞、命令执行漏洞、文件包含漏洞）的检测大多是基于“正则表达式”和“AI+规则”的方法，因此会有一定的概率绕过其防御。 绕过waf的测试中，有很多方法可以使用，以下常用方法： 大小写绕过 注释符绕过 编码绕过 分块传输绕过 使用空字节绕过 关键字替换饶过 http协议覆盖绕过 白名单ip绕过 真实ip绕过 Pipline绕过 参数污染 溢出waf绕过 可以把WAF分为四类： 云WAF类 硬件WAF类 软件WAF类 网站内置WAF
【网络渗透】WAF绕过技术解析
凪的博客
04-07 851
WAF绕过技术本质是利用协议解析差异、规则覆盖不全、数据处理逻辑缺陷。防御需从协议合规、动态检测、持续学习三方面构建纵深防护体系。攻击者与防御者的对抗将持续推动安全技术的演进。
WAF相关知识及安全狗的部署和绕过
北冥同学的成长记录笔记
07-16 4802
WAF即Web应用程序防火墙通过过滤和监视Web应用程序与Internet之间的HTTP通信来帮助保护Web应用程序，Web Application Firewall (WEB 应用防护系统)。
WAF相关知识及安全狗的部署和绕过_安全狗waf拦截规则
2401_86951318的博客
09-12 1330
在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。需要完整版PDF学习资源私我。
软WAF上传绕过+wbehshell免杀-漏洞银行大咖面对面9-ian
07-31
软WAF上传绕过+wbehshell免杀-漏洞银行大咖面对面9-ian
WAF绕过的各种方法总结.pdf
07-09
WAF绕过的各种方法总结总结语2019年7月9日，仅供学习参考，请勿用于非法用途
深入waf绕过 （云盾，宝塔，安全狗）（19，带你轻松理解网络安全-Hook机制
m0_62673499的博客
04-16 442
代理池就是随机输入ip，就类似于我们翻墙，扶墙的时候在外面看一些带颜色的片子，然后使用的代理，比如现在是1.1ip在注入，把1.1的ip拦截了，我在用代理池换1.2ip去注入，拦截一个换一个来使用绕过，调用很多服务器IP资源去绕过。第一个方法写一个txt的文件，用burp去抓数据包，把数据包拦截的数据放在里面，然后修改那个sqlmap修改不了的数据参数，然后在sqlmap里面，再去引用txt的文件，以文件里面的数据包形式去访问，是百度的搜索引擎，网站也不会拦截，也不会出现不能访问的情况，就可以继续注入。
xss绕过字符过滤_XSS小技巧绕过云WAF
weixin_39718521的博客
01-04 554
XSS小技巧绕过云WAF0x01最初发现来自实验室的小伙伴,但是仅限于弹窗,后来发现这种类型的payload构造思路来自WriteupXSS挑战第二期Writeup以及使用了fuzz的一些小技巧,可以实现任意js代码执行.绕云waf简单的方式就是绕过cdn,找真实ip,翻一下历史解析记录基本都能找到,也有一些工具,比如我在另一篇文章集的fuckcdn有些时候绕不过去cdn,又存在xss漏...
阿里云服务器怎么接入云盾Web应用防火墙？（详细教程）
云计算技术达人
06-29 5915
什么是云盾Web应用防火墙？ 云盾Web应用防火墙(Web Application Firewall, 简称 WAF)基于云安全大数据能力实现，通过防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击，过滤海量恶意CC攻击，避免您的网站资产数据泄露，保障网站的安全与可用性。 购买阿里云服务器等产品或腾讯云产品，请先领取阿里云代金券和腾讯云代...
11. xss bypass aliyunwaf bypass
HWHXY的博客
01-25 600
layout: post title: 11. xss bypass category: SRC tags: SRC keywords: SRC,XSS 前言 该篇记录为记录实际的src过程第11篇小文章，内容为某网站的xssbypass。 XSS特征 一般业务上(aliyun)不允许的waf特征-字母+( xss绕过payload 可以试试字母+空格+(绕过。 后话 xxxxx ...
（18）【WAF绕过】WAF部署、绕过分析和原理、注入绕过WAF方法
02-27 7556
【WAF绕过】
上传绕过_上传绕过WAF姿势与防御漫谈
weixin_39963053的博客
11-25 507
*本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担今天就聊聊关于上传绕过WAF的姿势，WAF(Web Application Firewall)简单的来说就是执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。上传绕过不算什么技术了，正所谓未知防，焉知攻，先来了解一下网站的防御措施吧！一、上传绕过姿势1.一般开发人员防御策略客户端java...
阿里云盾WAF正确配置与SEO友好使用指南
在描述中提到，有些用户在遭受攻击时发现云盾并未起作用，主要原因是他们只开启了服务而未进行正确的域名解析配置。 1. **域名解析的重要性**：在启用阿里云盾WAF前，必须通过CNAME记录将域名指向云盾提供的CNAME...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符  | 博主筛选后可见
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值