Exécuter le code JavaScript pour XSS sans balises de script

Je suis en train d'apprendre à propos de XSS (à des fins éthiques), et je me demandais comment exécuter du code JavaScript sans utiliser <script> balises. C'est au sein de la

balise HTML:

"The search term" <p> *JavaScript here* </p> "returned no results"

Pour une raison quelconque, les balises de script ne sont pas de travail.

Une petite recherche sur google vous montrera ceci: Cross-site Scripting (XSS), le Filtre XSS Évasion Feuille de Triche et excess-xss.com je suppose que ce sera un bon point de départ.
Merci pour ces liens, mais ils ne contiennent pas la solution à cette question. Je pense que cela a à voir avec les guillemets doubles autour des cordes "Le terme de recherche" et "n'a donné aucun résultat" , car en l'absence de ces citations, le <script> balise fonctionne très bien
Je ne vois pas de script balises, ni de l'exemple où vous avez la preuve de votre déclaration (un exemple où le js est exécuté et celui où pas), le contexte dans lequel votre ciselée est utilisé évaluées, ... . Si c'est simple, clair html alors la il n'a pas d'importance si il y a " autour du texte ou pas.

OriginalL'auteur BillyBob | 2016-05-25

  1. 3
    1. Essayez de les mettre dans différents types de chaînes de caractères spéciaux et de regarder si l'un de ces codé ou outputed. (Personnellement, je utiliser '';!--"<XSS>=&{()})
    2. Maintenant vous avez trois options:
      1. À l'intérieur d'une Balise HTML: La <> n'a pas d'importance, parce que vous êtes déjà à l'intérieur d'une Balise HTML. Vous pouvez regarder si cette Balise prend en charge les Événements et utiliser une sorte de onload=alert(1) ou tout autre événement. Si <> est permis, vous pouvez sortir et de créer votre propre étiquette de '><img src=0 onerror=alert(1)>
      2. À l'extérieur de la Balise HTML: la <> sont importantes. Avec ces derniers vous pouvez ouvrir une nouvelle Balise et le monde entier est sous vos pieds (ou alors...)
      3. À l'intérieur de Javascript: Bien...si vous pouvez sortir de la chaîne de '", vous pouvez vous écrire ';alert(1)
    3. De l'artisanat de votre XSS en fonction de vos caractères codés et les environs de l'endroit où la chaîne est outputed

    <XSS> disparaît complètement: l'application utilise une sorte de strip_tags . Si vous êtes en dehors d'une Balise HTML et pas de Tags HTML sont ajoutés à la liste blanche, malheureusement je ne connais pas de méthode pour réaliser un XSS.

    De l'élaboration de votre propre charge utile

    Il existe différentes méthodes pour y parvenir et trop pour tous les nommer.
    Coup d'oeil sur ces deux sites, qui ont beaucoup de méthodes et de concept pour construire votre propre.
    Il vient: Ce que la page permet de passer à travers.

    1. https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#XSS_Locator_.28short.29
    2. https://html5sec.org/
    Dans les commentaires de l'OP dit que ces liens ne seront pas répondre à la question. (html5sec n'était pas sur la liste, mais il contient la même information)
    ouais...vu que plus tard, modifié pour répondre à une simple howto. Et non...html5sec fournit beaucoup plus différentes balises, parce que beaucoup de filtres ne filtre pas les nouvelles balises html5.
    Merci pour l'explication détaillée. J'ai essayé votre méthode (à l'entrée "";!--"<XSS>=&{()})"), et tous les caractères sont affichés sur la page, c'est à dire, aucun n'est filtré. Lorsque je clique sur "Inspecter l'Élément", je vois que ce texte est affiché dans les 2 <strong> des balises qui sont à l'intérieur de <h2> des balises qui sont à l'intérieur d'un <div>. J'ai essayé d'insérer <div onmouseover="alert(1)">hi</div> mais c'est juste de l'affichage normalement, et quand je passe en revue le texte, je vois qu'il n'est pas enregistré au format HTML, c'est juste traitée comme une chaîne.

    OriginalL'auteur nv1t

  2. 3

    Vous pouvez utiliser le onclick attribut qui est présenté dans des éléments HTML de sorte que vous pouvez créer quelque chose comme ceci:

    "The search term" <p> <a href="" onclick="alert('I excuted JavaScript!');">Click me to see the JavaScript work!</a> </p> "returned no results"

    Maintenant en cliquant sur l'élément le JavaScript est exécuté.

    OriginalL'auteur Bubble Hacker