??

相信有很多的小盆友們曾經發現過一些疑似存在XSS漏洞的站點，但又無法完全證明這個漏洞是可以被利用的。此時的你可能處于懷疑狀態，也有可能你已經驗證到一半了，嚴重懷疑其有精神病(XSS漏洞)的情況。那么這個時候該怎么辦呢？

很多時候，手測沒有任何進展，很多Hacker或許會用XSS fuzz，將準備好的XSS-Payload-list往BurpSuite里一扔，噢豁~還是找不到適合的Payload。

(注：各前輩集齊的XSS-Payload，各位盆友們自行查看)# XSS-Payloadhttps://github.com/TheKingOfDuck/fuzzDicts/tree/master/easyXssPayloadhttps://github.com/ZephrFish/XSSPayloads/blob/master/raw_payloadshttps://github.com/silience/xsspayloadhttps://github.com/willc/XSSpayloads/blob/master/xss_payloads_6-20-12.txthttps://github.com/AeolusTF/XssPayload/blob/master/XssPayload.txt

(注：還有我的一鍵XSS上天遁地工具，無法無天，骨骼精奇的盆友可得)

當然也有很多頭鐵的小伙伴去硬剛的，畢竟沒有絕對的安全嘛，但是這必定會是個長久的消耗戰。為了搞清楚哪些情景下，我們無法利用XSS漏洞，特此安排此文進行講解。

(事先聲明：以下所謂的無法利用的場景或許只是因為個人能力不足所導致的一種錯誤認知，若有不足之處或解決方法，希望各位師傅們分享。)

0x01 WAF攔截[a-zA-Z]遇到這一情況，大小寫字母都給你攔截，怎么辦？很多人或許會說利用十六進制編碼繞過、用Unicode編碼繞過、用URL編碼繞過，但是似乎行不通。不用說，鏈接在下方。http://portswigger-labs.net/impossible-labs/basic-context-waf-blocks-a-z.php?x=%3Cscript%3Ealert(1)%3C/script%3E

(師傅們，上才藝

)

0x02?基于腳本注入，引號('和')、正斜桿(/)和反斜杠(\)被轉義腳本注入是我們常用的手段了，但是引號、正斜桿和反斜杠被轉義，相信讓很多師傅們頭疼吧。如果再來個實體化，那這頭就更大了。我平時看到這情形基本都是撒腿就跑。老樣子，上才藝，鏈接在下方。http://portswigger-labs.net/impossible-labs/script-context-escaped-angle-brackets-allowed.php?x=%3C/script%3E%3Cimg%20src=1%20οnerrοr=alert(1)%3E

(繞過了的師傅們記得分享分享

)

0x03 輸出HTML文本內容，但不允許使用等號(=)在處理查詢字符串和URL的站點時，它對參數進行解碼，但對等號進行拆分，然后將其賦值給innerHTML。在這個上下文中

0x04 基本內容長度限制此XSS場景發生在基本的HTML上下文中，但是長度限制為15。這里存在一個矢量，可以執行16個字符的JavaScript:

(我除了拿出我的一鍵XSS上天遁地工具，別無他法)

0x05?屬性內容長度限制

這個場景上下文在長度被限制在14個字符的屬性中，這里存在一個向量，它用15個字符執行JavaScript:'oncut=alert`` 。加號是尾隨空格，有辦法利用嗎？https://portswigger-labs.net/impossible-labs/attribute-context-length-limit-arbitrary.php?x=%22oncut=eval(top.name)

0x06 基于腳本注入發生在框架內，并不在主體內容中

這是一個關于twitter next實驗室的請求，它發生在一個框架集中。師傅們看看http://portswigger-labs.net/impossible-labs/after-frameset-before-body.php?x=%3C/frameset%3E%3Cscript%3Ealert(1)%3C/script%3E0x07 基本上下文長度限制任意代碼

注意哈~這和第四點不一樣的。這里的限制是只讓你調用alert，其它任意代碼都被限制，這個時候是否有辦法利用？https://portswigger-labs.net/impossible-labs/basic-context-length-limit-arbitrary.php?x=%3Cq%20oncut=eval(name)0x08 屬性上下文長度限制任意代碼這個跟第五點也不一樣，別搞錯了。環境鏈接暫時沒有，師傅們直接意會。(據說國外能使用任意JavaScript來查找最短的基于屬性的注入。)若有不足之處，一起討論研究。此文是翻譯加改編而來，原鏈接在下方：https://portswigger.net/research/documenting-the-impossible-unexploitable-xss-labs■ Over?■

總結

以上是生活随笔為你收集整理的html %3c 不给转义,八个无法利用XSS漏洞的场景的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。