Qualsiasi payload XSS non malintenzionato () non dannoso?

Puoi provare console.log('XSS').

A scopo di test, penso che la più utile sia una richiesta HTTP. Ciò consente al tuo server di registrare gli URL che hanno riflesso l'XSS.

(new Image()).src = "https://localhost/log_xss?from=" + window.location;

Puoi anche racchiuderlo in un userscript:

// ==UserScript==
// @match <all_urls> 
// @run-at document-start
// ==/UserScript==

Object.defineProperty(window, "f", {
  get: function () {
    // Your function, you can change if you want.
    (new Image()).src = "https://localhost/log_xss?from=" + window.location;
  }
});

Quindi testare per XSS è facile come:

<script>f</script>
<input onfocus=f autofocus>

Ci sono due vantaggi:

• Può aiutare a bypassare alcuni filtri XSS. "f" non ha caratteri speciali, quindi è molto probabile che non venga filtrato. Dovrai comunque scrivere un payload completo che ignora il filtro, ma potrebbe essere utile per il rilevamento.
• È anche più discreto poiché il sito pentestato non avrà mai l'URL del tuo server.

Con DOM-Manipulation si potrebbe cambiare la pagina stessa. Nel caso in cui si conosce la pagina di destinazione, può essere manipolata in alcuni modi carini.

Un esempio semplice potrebbe essere:

document.body.innerHTML = 'XSS';

Di solito faccio una ricerca di immagini Google per un'immagine divertente, salvandola sul mio server HTTPS e quindi creando un tag <img /> utilizzando la vulnerabilità XSS.

Con un po 'di immaginazione, questo può dimostrare la vulnerabilità in modo umoristico.

Controlla anche il link sito per altri carichi utili interessanti.

A scopo dimostrativo, è possibile eseguire un reindirizzamento document.location a un sito Web diverso. Sarebbe divertente iniettare l'Harlem Shake js che fa ballare tutto sulla pagina.

A seconda del tuo pubblico potresti anche iniettare alcune sciocchezze javascript come uno screensaver a matrice (per esempio ).

<img src="test.com/index.php?something=document.location/>

Se messo da qualche parte non persistente.