Przykłady XSS, których mogę użyć do testowania wprowadzania strony?

Na przykład:

<script>alert("XSS")</script>
"><b>Bold</b>
'><u>Underlined</u>

Bardzo dobrze jest korzystać z niektórych zautomatyzowanych narzędzi, jednak nie uzyskasz z nich żadnego wglądu ani doświadczenia.

Celem ataku XSS jest uruchomienie javascript w oknie przeglądarki, które nie jest dostarczane przez witrynę. Najpierw musisz sprawdzić, w jakim kontekście dane dostarczone przez użytkownika są drukowane na stronie; może to być w bloku kodu <script></script>, może być w bloku <style></style>, może być używany jako atrybut elementu <input type="text" value="USER DATA" /> lub na przykład w <textarea>. W zależności od że zobaczysz, jakiej składni użyjesz, aby uciec od kontekstu (lub go użyć); na przykład, jeśli znajdujesz się w znacznikach <script>, może wystarczyć zamknięcie paretezy funkcji i zakończenie linii średnikiem, więc ostateczne wstrzyknięcie będzie wyglądało jak ); alert(555);. Jeśli dostarczone dane są używane jako atrybut html, Wtrysk może wyglądać jak " onclick="alert(1)", co spowoduje wykonanie js po kliknięciu na element(ten obszar jest bogaty do zabawy, szczególnie z html5). Chodzi o to, że kontekst xss jest tak samo ważne jak wszelkie funkcje filtrowania/sanatyzacji, które mogą być na miejscu, a często mogą występować małe niuanse, których zautomatyzowane narzędzie nie wychwyci. Jak widać powyżej, nawet bez cudzysłowów i znaczników html, w ograniczonej liczbie przypadków możesz być w stanie ominąć filtry i wykonać js.

Należy również wziąć pod uwagę kodowanie przeglądarki, na przykład możesz ominąć filtry, jeśli docelowa przeglądarka ma kodowanie utf7 (i kodujesz wstrzyknięcie tędy). Filter evasion to zupełnie inna historia, jednak obecne funkcje PHP są dość kuloodporne, jeśli są używane poprawnie.

Również tutaj jest wystarczająco długa lista wektorów XSS

Jako ostatnia rzecz, oto rzeczywisty przykład ciągu XSS, który został znaleziony na stronie, i gwarantuję ci, że żaden skaner nie znalazłby tego (były różne filtry i czarne listy słów, strona pozwalała wstawić podstawowe formatowanie html, aby dostosować swój profil Strona):

<a href="Boom"><font color=a"onmouseover=alert(document.cookie);"> XSS-Try ME</span></font>

Testy Ad-hoc są w porządku, jednak zalecam również wypróbowanie narzędzia do skanowania luk w aplikacji internetowej, aby upewnić się, że niczego nie przeoczyłeś.

Acunetix jest całkiem dobry i ma darmową wersję próbną swojej aplikacji:

Http://www.acunetix.com/websitesecurity/xss.htm

(uwaga nie mam powiązania z tą firmą, jednak używałem produktu do testowania własnych aplikacji).