1. 首页
  2. 渗透测试

一个XSS payload的分析

前提:不能使用字母和数字,使用jsfuck加密发现过滤”+“号 – 原始Payload

首先复制全部到谷歌中尝试运行  一个XSS payload的分析-ChaBug安全其实是构造了一个函数

把代码分成三部分  一个XSS payload的分析-ChaBug安全

依次查看内容  一个XSS payload的分析-ChaBug安全

实际执行的语句为  一个XSS payload的分析-ChaBug安全

再次分割(拿第一部分为例)  一个XSS payload的分析-ChaBug安全

取第一部分为例  一个XSS payload的分析-ChaBug安全

那么为什么会是C

列出基础字符  一个XSS payload的分析-ChaBug安全

峰回路转

一个XSS payload的分析-ChaBug安全

对比字母为C的和基础字符,发现一开始是一样的,那么后面的[!![]<<!![]<<!![]|!![]]是什么  一个XSS payload的分析-ChaBug安全

是一个数组的格式,结合基础字符查看,相当于${{}[5] ${{}内容为[object Object] 相当于[object Object]里面的第五个字符,就是c

原创文章,作者:Y4er,未经授权禁止转载!如若转载,请联系作者:Y4er

评论列表(1条)

  • test 2019年8月29日 下午4:20

    这个是js fuck吧

联系我们

在线咨询:点击这里给我发消息

QR code