换-UXSSMXSS

2、Web攻防-XSS跨站-框架和库-VUEReactElectronJQuery

1、框架或三方库的XSS(Vue、React、Electron、JQuery)

说明使用框架开发的或第三方库引用操作的默认安全写法会自带过滤所以测试此类的应用需存在漏洞版本或不安全写法导致XSS同样UXSS也需要存在漏洞的浏览器版本或插件导致MXSS也要不同环境下的转变解析导致需多测试。

Vue框架-XSS

直接将用户输入的内容渲染到页面this.displayContent

this.userInput;}}

库用于构建用户界面UI。

它的核心价值在于通过组件化的方式高效创建交互式

Web

{setUserInput(e.target.value);};const

displayInput

{setDisplayedInput(userInput);};return

(divinput

onClick{displayInput}显示输入/buttondiv

dangerouslySetInnerHTML{{__html:

displayedInput}}/{/*div{displayedInput}/div*/}/div);

export

技术HTML/CSS/JavaScript构建跨平台的桌面应用程序。

它通过将

Chromium

false}});win.loadFile(index.html);

{createWindow();app.on(activate,

function

(BrowserWindow.getAllWindows().length

createWindow();});

onclickdisplayInput()显示输入/buttondiv

iddisplayArea/divscriptfunction

displayInput()

document.getElementById(userInput).value;const

displayArea

document.getElementById(displayArea);

input;}/script

水洞https://mp.weixin.qq.com/s/FsFvQlVrb_J4wsyE8gpprA

介绍https://mp.weixin.qq.com/s/EMsK1c901-bDYapvHxs-VQ

https://github.com/mahp/jQuery-with-XSS

二、演示案例-WEB攻防-XSS跨站-MXSSUXSS转换浏览器

MXSS(突变型XSS)

mXSS中文是突变型XSS指的是原先的Payload提交是无害不会产生XSS而由于一些特殊原因如反编码等导致Payload发生变异导致的XSS。

https://mp.weixin.qq.com/s/31zaBzZ1e6rNobYCrn7Qhg

靶场https://portswigger-labs.net/mxss/mathmtexttablemglyphstyle!--/styleimg

title--gt;lt;img

https://www.fooying.com/the-art-of-xss-1-introduction/

UXSS(针对浏览器或浏览器插件漏洞)

UXSS利用浏览器或者浏览器扩展漏洞来制造产生XSS并执行代码的攻击类型。

MICROSOFT

Edge浏览器翻译功能导致JS语句被调用执行https://www.bilibili.com/video/BV1fX4y1c7rX