xss

一拳一个娘娘腔

【SRC漏洞挖掘系列】第02期：XSS与CSRF——Web世界的“偷家”艺术上期回顾：我们扒光了目标的资产（情报收集）。本期开始，我们要对这些目标进行“物理超度”——哦不，是合法的安全测试。今天的主角是 Web 漏洞界的“哼哈二将”：XSS 和 CSRF。

详解：XSS 攻击和 CSRF 攻击网站没有过滤用户输入，让黑客往页面植入了恶意JS。只要别人打开这个页面，恶意代码就在用户的浏览器本地执行。

CTF之xss注入——一切都似乎没有问题XSS（Cross Site Scripting，跨站脚本攻击）是一种常见的HTML注入攻击。其核心原理是攻击者利用目标服务器对用户输入缺乏安全验证的漏洞，将恶意脚本夹带在正常输入中注入到HTML页面里。当受害者的浏览器访问该页面并渲染文档时，由于对服务器的信任，会毫无阻碍地执行这些未被预期的恶意脚本指令。在攻击者、目标服务器与受害者浏览器这三个角色的交互中，攻击者借此成功窃取信息或破坏页面，从而达成其恶意目的。

【案例分析】网盘高危漏洞深度剖析：存储型XSS与CSRF的组合攻击⚠️本博文所涉安全渗透测试技术、方法及案例，仅用于网络安全技术研究与合规性交流，旨在提升读者的安全防护意识与技术能力。任何个人或组织在使用相关内容前，必须获得目标网络 / 系统所有者的明确且书面授权，严禁用于未经授权的网络探测、漏洞利用、数据获取等非法行为。

技术不好的崎鸣同学

WEB安全之XSS专题：前沿案例与实战分析大家好，你们可以叫我凌，是个16岁的网络安全学习者。前面我们已经将XSS的内容全部讲完了（没有看的可以回头去看看），那么今天我们来看看几个前沿案例，以进一步加深理解吧！

文章永久免费只为良心

反射型 XSS 漏洞从弹窗到劫持页面的进阶利用实战跨站脚本攻击（XSS）作为 OWASP Top 10 的常客，常被新手理解为“弹个框证明存在即可”。但在真实攻防场景中，XSS 的危害远不止 alert(1)。本文将以某次授权的渗透测试为例，详细记录如何从一个反射型 XSS 入手，逐步突破过滤限制，实现自定义图片弹窗、页面劫持钓鱼、Cookie 窃取等高阶利用。文章将提供完整的 Payload 构造思路及绕过技巧，希望能帮助安全从业者深入理解 XSS 的实际威力。

Empire（帝国）CMS 7.5 XSS注入利用子域名挖掘工具，获取管理员登录页面：登录管理员页面：payload：</textarea><script>alert(document.cookie)

哆来A梦没有口袋

前端视角：浏览器的安全机制你以为你只是在网页上点了几下？浏览器在背后打了不知道多少场"暗战"。今天我们就来扒一扒，浏览器到底是怎么保护你的，以及——为什么有些漏洞看起来蠢蠢的，却真实存在了几十年。

【Web安全】Blind XSS漏洞：从挖掘到防御⚠️本博文所涉安全渗透测试技术、方法及案例，仅用于网络安全技术研究与合规性交流，旨在提升读者的安全防护意识与技术能力。任何个人或组织在使用相关内容前，必须获得目标网络 / 系统所有者的明确且书面授权，严禁用于未经授权的网络探测、漏洞利用、数据获取等非法行为。

pikachu自编exp，xss反射性get，post,存储型xss，dom，dom-xxss反射性get，post,存储型xss，dom，dom-x1.2.3.4.5.

pikachu自编exp,xss之盲打，过滤，htmlspecialchars，href，jsxss之盲打过滤htmlspecialcharshrefjs1.2.3.4.5.

其实防守也摸鱼

面试常问问题总结--渗透测试工程师方向本文首先介绍了总体会问的方向，后面进行针对性的扩展。技术面一般问的时间会很长，范围也比较广泛，本文主要总结会问的问题。

淼淼爱喝水

基于DOM型XSS漏洞与利用实验教程1. 什么是 DOM 型 XSSDOM 型 XSS（Document Object Model Based XSS）是一种客户端脚本注入漏洞。其特点是：恶意输入通常不会经过服务器端处理后返回；漏洞发生在浏览器端 JavaScript 对页面 DOM 的操作过程中。

跨站脚本攻击(XSS)深度剖析：从原理到实战绕过及防御体系时间：2026年4月｜仅限技术交流与学习跨站脚本攻击（Cross Site Scripting，缩写为XSS）是一种常见的Web安全漏洞，攻击者通过在网页中注入恶意脚本代码，当用户浏览页面时，脚本在受害者浏览器中执行，从而达到窃取数据、劫持会话、钓鱼欺骗等目的。XSS与CSS样式表缩写冲突，因此安全领域统一使用XSS表示跨站脚本攻击。

兄弟加油，别颓废了。

XSS-Labs 前 5 关超详细通关全解无任何过滤、无编码的最基础反射型 XSS，URL 参数直接拼接到 HTML 页面中，考察 XSS 最核心的原理。

黑客是怎么偷走你账号的？你有没有想过：为什么有的网站会被"盗号"？为什么输入个用户名密码，钱就没了？为什么黑客能在你的页面上执行他的代码？

WordPress Finale Lite 插件高危漏洞检测与利用工具 (CVE-2024-30485)本项目提供了一个针对 WordPress Finale Lite 插件（版本号 <= 2.18.0）中高危授权绕过漏洞（CVE-2024-30485）的安全检测与概念验证工具。

从 0 到 1：文件上传漏洞的校验、绕过与真实场景利用本文系作者在网络安全渗透测试领域的学习与实践总结，仅作为技术参考资料，文中观点难免存在局限，恳请读者批评指正。

如何保护您的 .NET Web API 免受常见安全威胁目录介绍身份验证、授权和权限缓解策略密钥管理缓解策略SQL注入缓解策略跨站脚本攻击（XSS）缓解策略跨站请求伪造 (CSRF)

其实防守也摸鱼

XSS漏洞全景解析：从原理、实战利用到纵深防御学习 XSS（跨站脚本攻击）漏洞，建议遵循一个从理论到实践的清晰路径。一个高效的学习流程可以概括为：理解原理 → 掌握基础 → 动手实践 → 学习防御。