多语言有效负载利用多种编码、注入和混淆技术来绕过过滤器、混淆解析器，并跨不同上下文（如 html、javascript、css、json 等）触发执行。
-合并评论样式
多语言者经常通过合并不同的注释风格来混淆解析器：
javascript: //, /* */html: <!--/*--><svg onload=alert(1)/*-->
-使用编码实体
使用 html 或 url 编码绕过过滤器：
html: , "url: %3c, %3e, %22
alert(1)
-多语言环境
多语言负载可跨多种语言工作，例如 html、javascript、css。
"><!--
-脱离上下文
逃离当前上下文，如文本区域、脚本或样式。
-滥用 html5 元素
使用现代元素，如 、 或 .
<iframe srcdoc="">
-上下文事件处理程序
将事件处理程序注入 html 标签，例如 onload、onmouseover。
-结合 html、javascript 和 css
混合 html、css 和 javascript 的上下文。alert(1)-利用 svg 和 xml 功能
svg 允许通过 javascript uri 和其他基于 xml 的功能进行注入。-协议混乱（数据 url、javascript url）
使用 javascript: 或 data: url 进行负载传输。-使用换行符进行中断
使用换行符 n 或回车符 r 绕过过滤器。"onmouseover=nalert(1)//"-多语言结构
可跨 css 和 javascript 等多种语言工作的有效负载。*/ alert(1) /*-utf-7 编码
使用不太常见的编码，例如 utf-7。+adw-script+ad4-alert(1)+adw-/script+ad4--使用 html5 注入向量
使用现代 html5 向量，如 srcdoc、formaction 或 sandbox。<iframe srcdoc="alert(1)">-多重闭合和分层
关闭不同的标签以打破嵌套上下文。多语言负载的最佳实践
多样化攻击向量：使用 、 、 .
等多个元素编码：使用html或url编码绕过过滤器。
事件处理程序：与 onmouseover、onload.
等事件处理程序结合使用上下文转义：专注于打破字符串、属性或标签。
最小化有效负载长度：保持有效负载较短以绕过长度限制。
这些技术展示了多语言负载如何通过使用多种语言和上下文来绕过现代过滤器。以上就是创建强大的 XSS 多语言的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1491402.html
微信扫一扫
支付宝扫一扫
