非影资讯
P非影 English
面向安全从业者的中英双语安全研究与漏洞情报精选。

重新定义“不可能”：无任意 JavaScript 的 XSS

portswigger.net | 研究 | #web-security | #xss | #side-channel | #exfiltration | #tagged-templates | #charset-restriction

摘要

Luan Herrera 破解「不可能」XSS 挑战的客座文章：注入点位于单引号字符串内且字符集受限，无法执行任意 JavaScript，最终借助侧信道技术完成 Cookie 窃取与外带。
发布时间
收录时间

原文 ↗

相关内容

  1. 标签名称中包含什么？显然，JavaScript (portswigger.net)
  2. Practical Side-Channel Attacks in Web Applications (blog.sentry.security)
  3. 一次绕过 WAF 的有趣 XSS 案例 (labs.cognisys.group)
  4. 点击劫持、XSS 与拒绝服务之间价值 12,000 美元的交汇点 (samcurry.net)
  5. CRLF 驱动的反同步攻击：斩首 HTTP 流 (portswigger.net)
  6. 无 HTML 的 XSS：利用 AngularJS 的客户端模板注入 (portswigger.net)

返回