溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
相信大家在做***測試的時候都有過這樣的經歷，明明一個XSS的漏洞，但是卻有XSS過濾規則或者WAF保護導致我們不能成功利用，比如我們輸入<scirpt>alert("hi")</script>，會被轉換為<script>alert(>xss detected<)</script>，這樣的話我們的XSS就不生效了，下面就教大家幾種簡單的繞過XSS的方法：
1、繞過 magic_quotes_gpc
magic_quotes_gpc=ON是php中的安全設置，開啟后會把一些特殊字符進行輪換，比如'(單引號)轉換為\'，"(雙引號)轉換為\" ，\轉換為\\
比如：<script>alert("xss");</script>會轉換為<script>alert(\"xss\");</script>,這樣我們的xss就不生效了。
針對開啟了magic_quotes_gpc的網站，我們可以通過javascript中的String.fromCharCode方法來繞過，我們可以把alert("XSS");轉換為
String.fromCharCode(97, 108, 101, 114, 116, 40, 34, 88, 83, 83, 34, 41)那么我們的XSS語句就變成了
<script>String.fromCharCode(97, 108, 101, 114, 116, 40, 34, 88, 83, 83, 34, 41, 59)</script>
String.fromCharCode()是javascript中的字符串方法，用來把ASCII轉換為字符串。
如何轉換ASCII碼呢？
我們可以使用 hackbar 來搞定，Firefox的擴展工具https://addons.mozilla.org/en-US/firefox/addon/hackbar/
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
