Al momento sto affrontando questa possibile vulnerabilità XSS riflessa su una webapp:
URL = http://www.test.com/login/?login=[PAYLOAD]
Quando un utente fa clic su questo link, visualizza una pagina di accesso che include il seguente codice:
<a href="http://www.test.com/login/[PAYLOAD]><img...></img></a>
Ho provato a chiudere il tag <a>
utilizzando >
con diverse codifiche, ma questo viene filtrato e visualizzato come %3E
. Ho anche provato a chiudere il doppio preventivo e ad usare alcune cose come onclick ecc. Ma questo è anche filtrato.
Quindi mi stavo chiedendo, c'è qualche strumento là fuori che può testare automaticamente tutti i caratteri in un dato insieme con diverse codifiche per vedere cosa viene filtrato?
Potrei creare il mio script per farlo, ma potrebbe risparmiare un po 'di tempo e ... reinventare la ruota ..
Aggiorna :
Quindi sembra che non ci sia uno strumento che fornisce tale capacità. es .: prova e segnala per ogni input cosa viene filtrato (e come lo rende) o cosa no. Burp finisce per essere la soluzione migliore per farlo semiautomaticamente, e un'estensione Burp può essere fatta per automatizzare completamente questo processo.